개인정보의안전성확보조치기준해설서 2015.2.
개인정보의안전성확보조치기준해설서 본기준해설서는 개인정보보호법 에따라개인정보처리자가개인정보의안전성확보를위해이행해야할기술적 관리적보호조치등의세부기준제시를목적으로합니다.
Contents 01 개인정보의안전성확보조치기준 6 02 개인정보의안전성확보조치조문별해설 14 1. 목적 14 2. 정의 16 3. 내부관리계획의수립 시행 27 4. 접근권한의관리 37 5. 접근통제 41 개인정보의 안전성확보조치 기준해설서 6. 개인정보의암호화 49 7. 접속기록의보관및점검 56 8. 악성프로그램등방지 59 9. 물리적접근방지 61 10. 개인정보의파기 64 03 [ 붙임 ] FAQ 70
개인정보의안전성 확보조치기준해설서
01 개인정보의안전성확보조치기준 제1조 ( 목적 ) 제2조 ( 정의 ) 제3조 ( 내부관리계획의수립 시행 ) 제4조 ( 접근권한의관리 ) 제5조 ( 접근통제 ) 제6조 ( 개인정보의암호화 ) 제7조 ( 접속기록의보관및점검 ) 제8조 ( 악성프로그램등방지 ) 제9조 ( 물리적접근방지 ) 제10조 ( 개인정보의파기 )
01. 개인정보의안전성확보조치기준 01 개인정보의안전성확보조치기준 제정 2011. 9. 30. 행정안전부고시제 2011-43 호 개정 2014. 12. 30. 행정자치부고시제 2014-7 호 제1조 ( 목적 ) 이기준은 개인정보보호법 ( 이하 법 이라한다 ) 제24조제3항및제29조와같은법시행령 ( 이하 영 이라한다 ) 제21조및제30조에따라개인정보처리자가개인정보를처리함에있어서개인정보가분실 도난 유출 변조 훼손되지아니하도록안전성을확보하기위하여취하여야하는세부적인기준을정하는것을목적으로한다. 제2조 ( 정의 ) 이기준에서사용하는용어의뜻은다음과같다. 1. 정보주체 란처리되는정보에의하여알아볼수있는사람으로서그정보의주체가되는사람을말한다. 2. 개인정보파일 이란개인정보를쉽게검색할수있도록일정한규칙에따라체계적으로배열하거나구성한개인정보의집합물 ( 集合物 ) 을말한다. 3. 개인정보처리자 란업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등을말한다. 4. 소상공인 이란 소기업및소상공인지원을위한특별조치법시행령 제2조에해당하는자를말한다. 5. 중소사업자 란상시근로자수가 5인이상 50인미만인개인정보처리자를말한다. 다만 소기업및소상공인지원을위한특별조치법시행령 제2조제1항제1호에따른광업 제조업 건설업및운수업의경우에는상시근로자수가 10인이상 50인미만인개인정보처리자를말한다. 6. 개인정보보호책임자 라함은개인정보의처리에관한업무를총괄해서책임지는자로서영제32조제2항제1호및제2호에해당하는자를말한다. 6
7. 개인정보취급자 란개인정보처리자의지휘 감독을받아개인정보를처리하는임직원, 파견근로자, 시간제근로자등을말한다. 8. 정보통신망 이란 전기통신기본법 제2조제2호에따른전기통신설비를이용하거나전기통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신또는수신하는정보통신체계를말한다. 9. 개인정보처리시스템 이라함은개인정보를처리할수있도록체계적으로구성한데이터베이스시스템을말한다. 다만소상공인또는중소사업자가내부직원의개인정보만을보유한시스템은제외한다. 10. 내부망 이라함은물리적망분리, 접근통제시스템등에의해인터넷구간에서의접근이통제또는차단되는구간을말한다. 11. 내부관리계획 이란개인정보처리자가개인정보를안전하게처리하기위하여내부의사결정절차를통하여수립 시행하는내부기준을말한다. 12. 비밀번호 라함은정보주체또는개인정보취급자등이개인정보처리시스템, 업무용컴퓨터또는정보통신망에접속할때식별자와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다. 13. 접속기록 이라함은개인정보취급자등이개인정보처리시스템에접속하여수행한업무내역에대하여식별자, 접속일시, 접속자를알수있는정보, 수행업무등접속한사실을전자적으로기록한것을말한다. 14. 바이오정보 라함은지문, 얼굴, 홍채, 정맥, 음성, 필적등개인을식별할수있는신체적또는행동적특징에관한정보로서그로부터가공되거나생성된정보를포함한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 15. 보조저장매체 라함은이동형하드디스크, USB메모리, CD(Compact Disk), DVD(Digital Versatile Disk), 플로피디스켓등자료를저장할수있는매체로서개인정보처리시스템또는개인용컴퓨터등과용이하게연결 분리할수있는저장매체를말한다. 16. 위험도분석 이란개인정보처리시스템에적용되고있는개인정보보호를위한수단과개인정보유출시정보주체의권리를해할가능성및그위험의정도를분석하는행위를말한다. 17. 모바일기기 라함은무선망을이용할수있는 PDA, 스마트폰, 태블릿PC 등개인정보처리에이용되는휴대용기기를말한다. 18. 공개된무선망 이라함은불특정다수가무선접속장치 (AP) 를통하여인터넷을이용할수있는망을말한다. 개인정보의안전성확보조치기준해설서 7
01. 개인정보의안전성확보조치기준 제3조 ( 내부관리계획의수립 시행 ) 1 개인정보처리자는개인정보의안전한처리를위하여다음각호의사항을포함하는내부관리계획을수립 시행하여야한다. 1. 개인정보보호책임자의지정에관한사항 2. 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 3. 개인정보의안전성확보에필요한조치에관한사항 4. 개인정보취급자에대한교육에관한사항 5. 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 6. 그밖에개인정보보호를위하여필요한사항 2 소상공인은제1항에따른내부관리계획을수립하지아니할수있다. 3 개인정보처리자는제1항각호의사항에중요한변경이있는경우에는이를즉시반영하여내부관리계획을수정하여시행하고, 그수정이력을관리하여야한다. 제4조 ( 접근권한의관리 ) 1 개인정보처리자는개인정보처리시스템에대한접근권한을업무수행에필요한최소한의범위로업무담당자에따라차등부여하여야한다. 2 개인정보처리자는전보또는퇴직등인사이동이발생하여개인정보취급자가변경되었을경우지체없이개인정보처리시스템의접근권한을변경또는말소하여야한다. 3 개인정보처리자는제1항및제2항에의한권한부여, 변경또는말소에대한내역을기록하고, 그기록을최소 3년간보관하여야한다. 4 개인정보처리자는개인정보처리시스템에접속할수있는사용자계정을발급하는경우, 개인정보취급자별로사용자계정을발급하여야하며, 다른개인정보취급자와공유되지않도록하여야한다. 5 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를설정하여이행할수있도록비밀번호작성규칙을수립하여적용하여야한다. 제5조 ( 접근통제 ) 1 개인정보처리자는정보통신망을통한불법적인접근및침해사고방지를위해다음각호의기능을포함한조치를하여야한다. 1. 개인정보처리시스템에대한접속권한을 IP(Internet Protocol) 주소등으로제한하여인가받지않은접근을제한 2. 개인정보처리시스템에접속한 IP(Internet Protocol) 주소등을분석하여불법적인개인정보유출시도를탐지 8
2 개인정보처리자는개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에접속하려는경우에는가상사설망 (VPN : Virtual Private Network) 또는전용선등안전한접속수단을적용하여야한다. 3 개인정보처리자는인터넷홈페이지에서다른법령에근거하여정보주체의본인확인을위해성명, 주민등록번호를사용할수있는경우에도정보주체의추가적인정보를확인하여야한다. 4 개인정보처리자는취급중인개인정보가인터넷홈페이지, P2P, 공유설정, 공개된무선망이용등을통하여열람권한이없는자에게공개되거나유출되지않도록개인정보처리시스템, 업무용컴퓨터및모바일기기등에조치를하여야한다. 5 고유식별정보를처리하는개인정보처리자는인터넷홈페이지를통해고유식별정보가유출 변조 훼손되지않도록연 1회이상취약점을점검하여야한다. 6 개인정보처리자가별도의개인정보처리시스템을이용하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는제1항을적용하지아니할수있으며, 이경우업무용컴퓨터또는모바일기기의운영체제 (OS : Operating System) 나보안프로그램등에서제공하는접근통제기능을이용할수있다. 7 개인정보처리자는업무용모바일기기의분실 도난등으로개인정보가유출되지않도록해당모바일기기에비밀번호설정등의보호조치를하여야한다. 제6조 ( 개인정보의암호화 ) 1 영제21조및영제30조제1항제3호에따라암호화하여야하는개인정보는고유식별정보, 비밀번호및바이오정보를말한다. 2 개인정보처리자는제1항에따른개인정보를정보통신망을통하여송 수신하거나보조저장매체등을통하여전달하는경우에는이를암호화하여야한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 3 개인정보처리자는비밀번호및바이오정보는암호화하여저장하여야한다. 단비밀번호를저장하는경우에는복호화되지아니하도록일방향암호화하여저장하여야한다. 4 개인정보처리자는인터넷구간및인터넷구간과내부망의중간지점 (DMZ : Demilitarized Zone) 에고유식별정보를저장하는경우에는이를암호화하여야한다. 5 개인정보처리자가내부망에고유식별정보를저장하는경우에는다음각호의기준에따라암호화의적용여부및적용범위를정하여시행할수있다. 1. 법제33조에따른개인정보영향평가의대상이되는공공기관의경우에는해당개인정보영향평가의결과 2. 위험도분석에따른결과 개인정보의안전성확보조치기준해설서 9
01. 개인정보의안전성확보조치기준 6 개인정보처리자는제1항에따른개인정보를암호화하는경우안전한암호알고리즘으로암호화하여저장하여야한다. 7 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를저장하여관리하는경우상용암호화소프트웨어또는안전한암호화알고리즘을사용하여암호화한후저장하여야한다. 제7조 ( 접속기록의보관및점검 ) 1 개인정보처리자는개인정보취급자가개인정보처리시스템에접속한기록을 6개월이상보관 관리하여야한다. 2 개인정보처리자는개인정보의유출 변조 훼손등에대응하기위하여개인정보처리시스템의접속기록등을반기별로 1회이상점검하여야한다. 3 개인정보처리자는개인정보취급자의접속기록이위 변조및도난, 분실되지않도록해당접속기록을안전하게보관하여야한다. 제8조 ( 악성프로그램등방지 ) 개인정보처리자는악성프로그램등을방지 치료할수있는백신소프트웨어등의보안프로그램을설치 운영하여야하며, 다음각호의사항을준수하여야한다. 1. 보안프로그램의자동업데이트기능을사용하거나, 또는일 1회이상업데이트를실시하여최신의상태로유지 2. 악성프로그램관련경보가발령된경우또는사용중인응용프로그램이나운영체제소프트웨어의제작업체에서보안업데이트공지가있는경우, 즉시이에따른업데이트를실시 제9조 ( 물리적접근방지 ) 1 개인정보처리자는전산실, 자료보관실등개인정보를보관하고있는물리적보관장소를별도로두고있는경우에는이에대한출입통제절차를수립 운영하여야한다. 2 개인정보처리자는개인정보가포함된서류, 보조저장매체등을잠금장치가있는안전한장소에보관하여야한다. 3 개인정보처리자는개인정보가포함된보조저장매체의반출 입통제를위한보안대책을마련하여야한다. 다만별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는이를적용하지아니할수있다. 제 10 조 ( 개인정보의파기 ) 1 개인정보처리자는개인정보를파기할경우다음각호중어느하나의 조치를하여야한다. 10
1. 완전파괴 ( 소각 파쇄등 ) 2. 전용소자장비를이용하여삭제 3. 데이터가복원되지않도록초기화또는덮어쓰기수행 2 개인정보처리자가개인정보의일부만을파기하는경우, 제1항의방법으로파기하는것이어려운때에는다음각호의조치를하여야한다. 1. 전자적파일형태인경우 : 개인정보를삭제한후복구및재생되지않도록관리및감독 2. 제1호외의기록물, 인쇄물, 서면, 그밖의기록매체인경우 : 해당부분을마스킹, 천공등으로삭제 부칙 < 제 2011-43 호, 2011. 9. 30.> 제1조이기준은고시한날부터시행한다. 제2조 ( 영상정보처리기기에대한안전성확보조치의적용제외 ) 영상정보처리기기에대한안전성확보조치에대해서는 표준개인정보보호지침 중에서영상정보처리기기설치 운영기준이정하는바에따른다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 제3조 ( 전산센터, 클라우드컴퓨팅센터등의운영환경에서의안전조치 ) 개인정보처리자가전산센터 (IDC : Internet Data Center), 클라우드컴퓨팅센터 (Cloud Computing Center) 등에계약을통해하드웨어, 소프트웨어등을임차또는임대하여개인정보를처리하는경우에는계약서또는서비스수준협약서 (SLA : Service Level Agreement) 에이기준에준하는수준의안전조치내용이포함되어있으면이기준을이행한것으로본다. 부칙 < 제 2014-7 호, 2014. 12. 30.> 이기준은고시한날부터시행한다. 개인정보의안전성확보조치기준해설서 11
개인정보의안전성 확보조치기준해설서
02 개인정보의안전성확보조치조문별해설 1. 목적 2. 정의 3. 내부관리계획의수립 시행 4. 접근권한의관리 5. 접근통제 6. 개인정보의암호화 7. 접속기록의보관및점검 8. 악성프로그램등방지 9. 물리적접근방지 10. 개인정보의파기
02. 개인정보의안전성확보조치조문별해설 02 개인정보의안전성확보조치기준 1. 목적 제1조 ( 목적 ) 이기준은 개인정보보호법 ( 이하 법 이라한다 ) 제24조제3항및제29조와같은법시행령 ( 이하 영 이라한다 ) 제21조및제30조에따라개인정보처리자가개인정보를처리함에있어서개인정보가분실 도난 유출 변조 훼손되지아니하도록안전성을확보하기위하여취하여야하는세부적인기준을정하는것을목적으로한다. 취지 개인정보보호법제24조제3항및제29조와같은법시행령제21조및제30조에근거한기준으로서, 법률및시행령의규정을구체화하여개인정보가분실 도난 유출 변조 훼손등이되지아니하도록안전성을확보하기위한세부적기준제시를목적으로한다. 해설 이기준은모든개인정보처리자에게적용된다. 따라서업무를목적으로개인정보를처리하는모든공공기관, 법인, 단체및개인등은이기준을준수하여개인정보의안전성확보에필요한조치를이행하여야한다 14
TIP 개인정보보호법제2조에서 개인정보처리자 란업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등으로정의함 - 개인정보보호법은개인정보보호를위한일반법이므로개인정보를수집, 이용, 제공등처리하는모든자에적용될수있도록 개인정보처리자 의개념을폭넓게정의 : 공공기관, 영리목적의민간분야사업자, 협회 동창회등비영리기관 단체를모두포괄 예시 : 중앙행정기관, 중앙선거관리위원회, 국회등헌법기관, 정유사, 대형마트, 비디오대여점, 렌트카업체, 부동산중개업자, 자동차매매업자, 학교, 보험회사, 은행, 통신사, 여행사, 항공사, 호텔, 학원, 협회, 동창회, 동호회등 - 사적인영역에서의개인정보처리는배제하기위하여판례상확립된 업무상목적 으로 개인 정보파일을운용하기위하여 개인정보를처리하는자로한정 예시 : 사적인친분관계를위하여개인이휴대폰에저장한연락처정보, 이메일주소록등 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 개인정보의안전성확보조치기준해설서 15
02. 개인정보의안전성확보조치조문별해설 2. 정의 제2조 ( 정의 ) 이기준에서사용하는용어의뜻은다음과같다. 1. 정보주체 란처리되는정보에의하여알아볼수있는사람으로서그정보의주체가되는사람을말한다. 2. 개인정보파일 이란개인정보를쉽게검색할수있도록일정한규칙에따라체계적으로배열하거나구성한개인정보의집합물 ( 集合物 ) 을말한다. 3. 개인정보처리자 란업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등을말한다. 4. 소상공인 이란 소기업및소상공인지원을위한특별조치법시행령 제2조에해당하는자를말한다. 5. 중소사업자 란상시근로자수가 5인이상 50인미만인개인정보처리자를말한다. 다만 소기업및소상공인지원을위한특별조치법시행령 제2조제1항제1호에따른광업 제조업 건설업및운수업의경우에는상시근로자수가 10인이상 50인미만인개인정보처리자를말한다. 6. 개인정보보호책임자 라함은개인정보의처리에관한업무를총괄해서책임지는자로서영제32조제2항제1호및제2호에해당하는자를말한다. 7. 개인정보취급자 란개인정보처리자의지휘 감독을받아개인정보를처리하는임직원, 파견근로자, 시간제근로자등을말한다. 8. 정보통신망 이란 전기통신기본법 제2조제2호에따른전기통신설비를이용하거나전기통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신또는수신하는정보통신체계를말한다. 9. 개인정보처리시스템 이라함은개인정보를처리할수있도록체계적으로구성한데이터베이스시스템을말한다. 다만소상공인또는중소사업자가내부직원의개인정보만을보유한시스템은제외한다. 10. 내부망 이라함은물리적망분리, 접근통제시스템등에의해인터넷구간에서의접근이통제또는차단되는구간을말한다. 11. 내부관리계획 이란개인정보처리자가개인정보를안전하게처리하기위하여내부의사결정절차를통하여수립 시행하는내부기준을말한다. 12. 비밀번호 라함은정보주체또는개인정보취급자등이개인정보처리시스템, 업무용컴퓨터또는정보통신망에접속할때식별자와함께입력하여정당한접속권한을가진 16
자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다. 13. 접속기록 이라함은개인정보취급자등이개인정보처리시스템에접속하여수행한업무내역에대하여식별자, 접속일시, 접속자를알수있는정보, 수행업무등접속한사실을전자적으로기록한것을말한다. 14. 바이오정보 라함은지문, 얼굴, 홍채, 정맥, 음성, 필적등개인을식별할수있는신체적또는행동적특징에관한정보로서그로부터가공되거나생성된정보를포함한다. 15. 보조저장매체 라함은이동형하드디스크, USB메모리, CD(Compact Disk), DVD (Digital Versatile Disk), 플로피디스켓등자료를저장할수있는매체로서개인정보처리시스템또는개인용컴퓨터등과용이하게연결 분리할수있는저장매체를말한다. 16. 위험도분석 이란개인정보처리시스템에적용되고있는개인정보보호를위한수단과개인정보유출시정보주체의권리를해할가능성및그위험의정도를분석하는행위를말한다. 17. 모바일기기 라함은무선망을이용할수있는 PDA, 스마트폰, 태블릿PC 등개인정보처리에이용되는휴대용기기를말한다. 18. 공개된무선망 이라함은불특정다수가무선접속장치 (AP) 를통하여인터넷을이용할수있는망을말한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 취지 법제 2 조 ( 정의 ) 에서정의한용어이외에같은법시행령과 개인정보의안전성확보조치기준 의 신규용어에대한해석상의혼란을방지하기위함이다. 해설 1. 정보주체 란처리되는정보에의하여알아볼수있는사람으로서그정보의주체가되는 사람을말한다. 개인정보의안전성확보조치기준해설서 17
02. 개인정보의안전성확보조치조문별해설 정보주체 는처리되는정보에의하여알아볼수있는사람으로서, 개인정보보호법에의해 보호대상이되는존재를말한다. 2. 개인정보파일 이란개인정보를쉽게검색할수있도록일정한규칙에따라체계적으로 배열하거나구성한개인정보의집합물 ( 集合物 ) 을말한다. 개인정보파일 은개인의이름이나고유식별자등을사용하여색인 분류되어있는등일정한 기준에따라쉽게개인정보를검색할수있도록체계적으로배열또는구성된개인정보의집합물을 말한다. 3. 개인정보처리자 란업무를목적으로개인정보파일을운용하기위하여스스로또는다른 사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등을말한다. 개인정보처리자 란법제2조제5호에따라개인정보를처리하는모든공공기관, 영리목적의사업자, 협회ㆍ동창회등비영리기관ㆍ단체, 개인등을말한다. 개인정보처리 란개인정보를수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정 ( 訂正 ), 복구, 이용, 제공, 공개, 파기 ( 破棄 ), 그밖에이와유사한행위를말한다. 공공기관 이란법제2조제6호및시행령제2조에따른기관을말한다. [ 개인정보보호법제 2 조제 6 호 ] 제2조 ( 정의 ) 이법에서사용하는용어의정의는다음과같다. 6. 공공기관 이란다음각목의기관을말한다. 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의행정사무를처리하는기관, 중앙행정기관 ( 대통령소속기관과국무총리소속기관을포함한다 ) 및그소속기관, 지방자치단체나. 그밖의국가기관및공공단체중대통령령으로정하는기관 4. 소상공인 이란 소기업및소상공인지원을위한특별조치법시행령 제 2 조에해당하는자를 말한다. 18
소상공인 은 소기업및소상공인지원을위한특별조치법 의제2조제2호에서정의하고있는사업자로서, 광업 제조업 건설업및운수업 의경우에는 10인미만의사업자, 그외의업종의경우에는 5인미만의사업자를말한다. [ 소기업및소상공인지원을위한특별조치법제2조 ] 제2조 ( 정의 ) 이법에서사용하는용어의뜻은다음과같다. 1. 소기업 이란 중소기업기본법 제2조제2항에따른소기업을말한다. 2. 소상공인 이란소기업중상시근로자가 10명미만인사업자로서업종별상시근로자수등이대통령령으로정하는기준에해당하는자를말한다. [ 전문개정 2011.5.24.] [ 소기업및소상공인지원을위한특별조치법시행령제2조 ] 제2조 ( 소상공인의범위등 ) 1 소기업및소상공인지원을위한특별조치법 ( 이하 법 이라한다 ) 제2조제2호에서 업종별상시근로자수등이대통령령으로정하는기준에해당하는자 란주된사업에종사하는상시근로자의수가다음각호의어느하나에해당하는사업자를말한다. 1. 광업ㆍ제조업ㆍ건설업및운수업의경우 : 10명미만 2. 제1호외의업종의경우 : 5명미만 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 2 제1항에따른주된사업의기준과상시근로자의범위및인원산정방법에관하여는 중소기업기본법시행령 제4조및제5조를준용한다. 3 중소기업청장은소기업또는소상공인에해당하는지를확인하기위하여필요하다고인정하는경우에는그확인방법및절차에관한사항을따로정하여고시할수있다. [ 전문개정 2013.12.24] 개인정보의안전성확보조치기준해설서 19
02. 개인정보의안전성확보조치조문별해설 5. 중소사업자 란상시근로자수가 5인이상 50인미만인개인정보처리자를말한다. 다만 소기업및소상공인지원을위한특별조치법시행령 제2조제1항제1호에따른광업 제조업 건설업및운수업의경우에는상시근로자수가 10인이상 50인미만인개인정보처리자를말한다. 6. 개인정보보호책임자 라함은개인정보의처리에관한업무를총괄해서책임지는자로서 영제 32 조제 2 항제 1 호및제 2 호에해당하는자를말한다. 개인정보보호책임자 란개인정보처리자의개인정보처리에관한업무를총괄해서책임지거나업무처리를최종적으로결정하는자로서, 법제31조와시행령제32조에따른지위에해당하는자를말한다. 법령에서특정한지위를갖는자가개인정보보호업무를총괄하거나업무처리를최종결정하도록정하고있는것은사내의중요의사결정을수행하는중역으로서개인정보보호요구사항을적극적으로반영할수있도록하기위함이다. 7. 개인정보취급자 란개인정보처리자의지휘 감독을받아개인정보를처리하는임직원, 파견 근로자, 시간제근로자등을말한다. 개인정보취급자 란개인정보처리자의지휘ㆍ감독을받아개인정보를처리하는업무를담당하는 자로서직접개인정보에관한업무를담당하는자와그밖에업무상필요에의해개인정보에 접근하여처리하는모든자를말한다. 개인정보취급자 는기업 단체 공공기관의임직원, 외부기관에서또는외부기관으로파견된근로자, 계약직원, 아르바이트직원등의시간제근로자등이해당될수있다. 8. 정보통신망 이란 전기통신기본법 제 2 조제 2 호에따른전기통신설비를이용하거나전기 통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신 또는수신하는정보통신체계를말한다. 정보통신망은전기통신기본법제 2 조제 2 호에따라전기통신을하기위한기계 기구 선로등 기타전기통신에필요한설비를이용하거나컴퓨터및컴퓨터이용기술을활용하여정보를 20
수집 가공 저장 검색 송신또는수신하는정보통신체계를의미한다. 9. 개인정보처리시스템 이라함은개인정보를처리할수있도록체계적으로구성한데이터베이스시스템을말한다. 다만소상공인또는중소사업자가내부직원의개인정보만을보유한시스템은제외한다. 개인정보처리시스템 이란개인정보를처리할수있도록체계적으로구성한데이터베이스시스템을말한다. 개인정보처리시스템은일반적으로개인정보의체계적인처리를위한 DBMS (Database Management System) 을말한다. TIP 데이터베이스(DB) 응용프로그램이설치 운영되지않는 PC, 노트북과같은업무용컴퓨터는개인 정보처리시스템에서제외된다. 10. 내부망 이라함은물리적망분리, 접근통제시스템등에의해인터넷구간에서의접근이통제또는차단되는구간을말한다. 내부망 이란인터넷구간과물리적으로망이분리되어있거나, 비인가된불법적인접근을차단하는기능등을가진접근통제시스템에의하여인터넷구간에서의직접접근이불가능하도록통제 차단되어있는구간을말한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ [ 내부망구성도예시 1 ] 인터넷영역 접근통제시스템 DMZ 영역 접근통제시스템 내부망 1 2 3 4 5 6 내부작업영역 / 접근통제체계 개인정보의안전성확보조치기준해설서 21
02. 개인정보의안전성확보조치조문별해설 [ 내부망구성도예시 2 ] 내부망 접근통제시스템 인터넷영역 중간지점 (DMZ) www E-MAIL DNS PROXY 11. 내부관리계획 이란개인정보처리자가개인정보를안전하게처리하기위하여내부의사결정 절차를통하여수립 시행하는내부기준을말한다. 내부관리계획 은개인정보처리자가정보주체의개인정보를보호하기위하여수립하는것으로기본지침또는계획을의미한다. 내부관리계획에는개인정보처리자가취급하는개인정보가분실 도난 누출 변조또는훼손되지아니하도록안전성을확보하기위한개인정보보호교육 감사등개인정보보호활동에대한조직내부의개인정보관리내용등을포함하여야한다. 12. 비밀번호 라함은정보주체또는개인정보취급자등이개인정보처리시스템, 업무용컴퓨터또는정보통신망에접속할때식별자와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다. 비밀번호 는허가없이개인정보처리시스템또는업무용컴퓨터에인가된사용자만접속할수있도록하기위한대책의한가지로서, 정보주체또는개인정보취급자가컴퓨터시스템또는통신망에접속할때사용자 ID와함께입력하여정당한사용자라는것을식별할수있도록시스템에전달해야하는고유의문자열이다. 회원제로운영되는온라인정보서비스의경우, 비밀번호가없으면이용할수없으며, 서비스제공자는입력된사용자 ID와비밀번호를시스템에등록되어있는것과대조하여일치해야접속을허용하게된다. 22
타인에게공개되지않는정보 의의미는개인정보취급자중계정관리자라할지라도정보주체및개인정보취급자의비밀번호를알수있는형태로관리되어서는안된다는것이다. 비밀번호가알수있는형태로관리되는경우해당정보에접근할수있는내부자, 해커등의외부공격자등에의한도용이가능하기때문이다. 13. 접속기록 이라함은개인정보취급자등이개인정보처리시스템에접속하여수행한업무내역에대하여식별자, 접속일시, 접속자를알수있는정보, 수행업무등접속한사실을전자적으로기록한것을말한다. 접속기록 은개인정보취급자, 개인정보처리자등이개인정보처리시스템에접속하여운영하였던이력정보로서, 시스템식별 인증정보 ( 일시, 컴퓨터 IP 명, 접속지역, ID 등 ), 서비스이용정보 ( 생성, 수정, 삭제, 검색, 출력등 ) 등이개인정보처리시스템에있는로그파일에자동으로기록되는것이다. 접속하여수행한업무내역 이라함은개인정보취급자가개인정보처리시스템을이용하여수행한업무를알수있는정보이다. 개인정보처리자측면에서는정보주체의개인정보에대한수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정 ( 訂正 ), 복구, 이용, 제공, 공개, 파기 ( 破棄 ) 등의업무를의미한다. 식별자, 접속일시, 접속지를알수있는정보 는접속한사실을확인하는데필요한정보를말한다. 개인정보취급자의사용자계정또는사용자명등이식별자에해당하며, 접속일시는접속한시점또는업무를수행한시점의 년-월-일, 시 : 분 : 초 가해당된다. 접속지를알수있는정보로는개인정보처리시스템에접속한자의 PC 또는서버의 IP 주소를의미하며, 접속기록상의 수행업무 는개인정보에대한수집, 저장, 검색, 출력, 복사, 제공, 공개, 파기등의행위중어떤행위를수행했는지를알수있는구체적인정보를의미한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ TIP 개인정보취급자가특정정보주체의개인정보를처리한경우, 수행업무 에는해당정보주체를식별할 수있는정보도포함된다. 전자적으로기록한것 의의미는개인정보취급자가수기로작성한문서가아니라시스템로그와 같이자동적으로기록된정보를의미한다. 개인정보의안전성확보조치기준해설서 23
02. 개인정보의안전성확보조치조문별해설 14. 바이오정보 라함은지문, 얼굴, 홍채, 정맥, 음성, 필적등개인을식별할수있는신체적 또는행동적특징에관한정보로서그로부터가공되거나생성된정보를포함한다. 지문, 얼굴, 홍채, 정맥, 음성, 필적등의바이오정보는각개인마다고유의특징을가지기때문에개인을식별하는정보로사용되며, 이러한바이오정보는신체적특징과행동적특징을기반으로생성된정보로다음과같은것들이있다. - 신체적특징 : 지문, 얼굴, 홍채, 정맥, 음성, 망막, 손모양, 손가락모양, 열상등 - 행동적특징 : 필적, 키보드타이핑, 입술움직임, 걸음걸이등 바이오정보는사람의신체적또는행동적특징을입력장치를통해최초로수집되어가공되지않은 원본정보 와그중특정알고리즘을통해특징만을추출하여생성된 특징정보 로구분된다. 15. 보조저장매체 라함은이동형하드디스크, USB 메모리, CD(Compact Disk), DVD(Digital Versatile Disk), 플로피디스켓등자료를저장할수있는매체로서개인정보처리시스템또는 개인용컴퓨터등과용이하게연결 분리할수있는저장매체를말한다. 보조저장매체 는컴퓨터에장착된하드디스크등의저장매체이외에전자적으로자료를저장할수있는매체로서이동형하드디스크, SSD(Solid State Drive), USB메모리, CD(Compact Disk), DVD(Digital Versatile Disk), 플로피디스켓, 자기테이프등개인정보처리시스템, 업무용컴퓨터또는개인용컴퓨터등과용이하게연결 분리할수있는저장매체를말한다. [ 보조저장매체예시 ] [ USB 메모리 ] [ CD ] [ 이동형하드디스크 ] 16. 위험도분석 이란개인정보처리시스템에적용되고있는개인정보보호를위한수단과 개인정보유출시정보주체의권리를해할가능성및그위험의정도를분석하는행위를 말한다. 24
위험도분석 이란개인정보처리시스템에적용되고있는개인정보보호를위한수단과개인정보유출시정보주체의권리를해할가능성과그위험의정도를분석하는행위를말한다. TIP 위험도분석 을위한세부기준은행정자치부에서공고한 개인정보위험도분석기준및해설서 로서, 개인정보보호종합지원포털 (http://www.privacy.go.kr) 의자료마당에서다운로드할수있다. 17. 모바일기기 라함은무선망을이용할수있는 PDA, 스마트폰, 태블릿PC 등개인정보처리에이용되는휴대용기기를말한다. 모바일기기 는이동통신망, Wi-Fi 등의무선망을이용하여개인정보처리에이용되는휴대용기기로서, 이러한기기에는스마트폰, 태블릿PC, PDA(Personal Digital Assistant) 등이있다. [ 모바일기기예시 ] 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ [ 스마트폰 ] [ 태블릿 PC ] [ PDA ] 개인정보처리에이용되는휴대용기기 의의미는개인정보처리자가업무를목적으로개인정보취급자로하여금개인정보처리에이용하도록하는휴대용기기를말한다. - 개인소유의휴대용기기라할지라도개인정보처리자의업무목적의개인정보처리에이용되는경우모바일기기에포함된다. TIP 개인정보처리자의 1 업무목적 으로 2 개인정보를처리 에이용되지않는휴대용기기는 모바일 기기 에서제외된다. 개인정보의안전성확보조치기준해설서 25
02. 개인정보의안전성확보조치조문별해설 18. 공개된무선망 이라함은불특정다수가무선접속장치 (AP) 를통하여인터넷을이용할수 있는망을말한다. 공개된무선망 이란공개된장소등에서불특정다수가무선접속장치 (AP) 를통해인터넷을 이용할수있는망을의미한다. 무선접속장치 (AP: Access Point) : 와이파이 (Wi-Fi), 블루투스관련표준을이용하여유선장치 ( 예 : 유선 LAN) 와무선장치 ( 예 : 무선 LAN) 를연결시켜주는컴퓨터네트워크장치중의하나로서, 두장치간데이터를중계할수있으며라우터, 이더넷허브등에연결하여사용할수있다. - 예를들어, 커피전문점, 도서관, 병원등에서여러방문객이나고객이인터넷을이용할수있도록 무선접속장치 (AP) 를설치 운영하는망의경우 공개된무선망 에해당한다. [ 공개된무선망 ( 커피전문점 ) 예시 ] TIP 개인정보처리자가업무목적을위해개인정보취급자용무선접속장치 (AP) 를설치하여운영하는경우 공개된무선망 에서제외된다. 예 ) 회사가사무실, 회의실등에서직원업무용무선접속장치 (AP) 를설치 운영하는경우의무선망 공개된무선망 이설치된장소의예로는커피전문점, 도서관, 공항, 철도역, 버스터미널, 대학, 병원, 유통센터, 호텔, 이동통신사, 개인정보처리자등이다수고객이나방문객용으로무선접속장치 (AP) 를설치한매장, 로비, 대합실, 회의실, 휴게실, 주차장등의장소가이에해당한다. TIP CDMA, WCDMA 등의기술을사용하는이동통신망은 공개된무선망 에서제외된다. 26
3. 내부관리계획의수립 시행 제3조 ( 내부관리계획의수립 시행 ) 1 개인정보처리자는개인정보의안전한처리를위하여다음각호의사항을포함하는내부관리계획을수립 시행하여야한다. 1. 개인정보보호책임자의지정에관한사항 2. 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 3. 개인정보의안전성확보에필요한조치에관한사항 4. 개인정보취급자에대한교육에관한사항 5. 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 6. 그밖에개인정보보호를위하여필요한사항 2 소상공인은제1항에따른내부관리계획을수립하지아니할수있다. 3 개인정보처리자는제1항각호의사항에중요한변경이있는경우에는이를즉시반영하여내부관리계획을수정하여시행하고, 그수정이력을관리하여야한다. 취지 정보주체의개인정보를보호하기위한조치를적절히시행하기위해서는개인정보처리자전체에통용되는내부규정이필요하다. 이를기초로세부지침이나안내서를마련하여개인정보취급자전원이동일한행동을취할수있도록할필요가있다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 개인정보처리자는취급하는개인정보가분실 도난 누출 변조또는훼손되지아니하도록안전성을확보하기위하여개인정보보호활동에대한조직내부의개인정보관리를위한내부관리계획을수립하고, 개인정보관련모든임직원및관련자에게알림으로써이를준수할수있도록하여야한다. - 이와같이내부관리계획을수립하도록하는이유는개인정보보호활동이임기응변식이아니라체계적이고전사적인계획내에서수행될수있도록하는데목적이있으며, 이를위하여경영층의방향제시와지원이필수적이다. 개인정보의안전성확보조치기준해설서 27
02. 개인정보의안전성확보조치조문별해설 해설 내부관리계획에는개인정보보호조직의구성및운영에관한다음과같은사항을포함하여야한다. - 개인정보보호책임자의지정에관한사항 - 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 - 개인정보의안전성확보에필요한조치에관한사항 제4조 ( 접근권한의관리 ), 제5조 ( 접근통제 ), 제6조 ( 개인정보의암호화 ), 제7조 ( 접속기록의보관및점검 ), 제8조 ( 악성프로그램등방지 ), 제9조 ( 물리적접근방지 ), 제10조 ( 개인정보의파기 ) 등 - 개인정보취급자에대한교육에관한사항 - 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 - 그밖에개인정보보호를위하여필요한사항 내부관리계획은전사적인계획내에서개인정보가관리될수있도록최고경영층으로부터내부결재등의승인을받아모든임직원및관련자에게알림으로써이를준수할수있도록하여야한다. TIP 내부관리계획의문서제목은가급적 내부관리계획 이라는용어를사용하는것이바람직하나, 개인정보처리자의내부상황에따라다른용어를사용할수있다. 공공기관의경우에는 개인정보보호추진계획 이라는이름으로용어가사용되기도한다. [ 개인정보내부관리계획목차 ( 예시 ) ] 제1장총칙제1조 ( 목적 ) 제2조 ( 용어정의 ) 제3조 ( 적용범위 ) 28
제2장내부관리계획의수립및시행제4조 ( 내부관리계획의수립및승인 ) 제5조 ( 내부관리계획의공표 ) 제3장개인정보보호책임자의의무와책임제6조 ( 개인정보보호책임자의지정 ) 제7조 ( 개인정보보호책임자의의무와책임 ) 제8조 ( 개인정보취급자의범위및의무와책임 ) 제4장개인정보의처리단계별기술적 관리적안전조치제9조 ( 접근권한의관리 ) 제10조 ( 접근통제 ) 제11조 ( 개인정보의암호화 ) 제12조 ( 접속기록의보관및점검 ) 제13조 ( 악성프로그램등방지 ) 제14조 ( 물리적접근방지 ) 제15조 ( 개인정보의파기 ) 제5장개인정보보호교육 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 제 6 장수탁자에대한관리및감독에관한사항 제 7 장개인정보침해대응및피해구제 1. 개인정보보호책임자의지정에관한사항 개인정보보호책임자의자격요건 개인정보의안전성확보조치기준해설서 29
02. 개인정보의안전성확보조치조문별해설 - 원칙적으로법제31조제1항및시행령제32조에따라개인정보의처리에관한업무를총괄해서책임질개인정보보호책임자 (CPO: Chief Privacy Officer) 직제를신설하거나, 정보주체의개인정보보호업무를위해조직된부서의장등을지정할수있다. - 또는, 개인정보처리자의사업환경에따라정보주체개인정보를주로활용하는업무를수행하는부서 ( 고객응대, 마케팅, 경영지원등 ) 나정보보호업무를수행하는부서에서본연의업무와동시에개인정보와관련된정보주체의고충처리를담당하게되는경우해당부서의장이개인정보보호책임자에지정될수도있다. - 조직내에정보보호 (Security) 업무를총괄하는정보보호책임자 (CSO: Chief Security Officer) 가별도로있는경우에는기술적조치에관하여상호간의업무를분명하게분장하여야한다. 개인정보처리자는개인정보보호책임자와정보보호책임자로동일인을지정할수도있다. - 개인정보보호책임자는정보보호관련지식뿐만아니라개인정보취급에관한법 제도적인측면등의다양한지식을습득할필요가있다. [ 개인정보보호법시행령제 32 조제 2 항 ] 제32조 ( 개인정보보호책임자의업무및지정요건등 ) 2 개인정보처리자는법제31조제1항에따라개인정보보호책임자를지정하려는경우에는다음각호의구분에따라지정한다. 1. 공공기관의경우 : 다음각목의구분에따른기준에해당하는공무원등가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의행정사무를처리하는기관및중앙행정기관 : 고위공무원단에속하는공무원 ( 이하 고위공무원 이라한다 ) 또는그에상당하는공무원나. 가목외에정무직공무원을장 ( 長 ) 으로하는국가기관 : 3급이상공무원 ( 고위공무원을포함한다 ) 또는그에상당하는공무원다. 가목및나목외에고위공무원, 3급공무원또는그에상당하는공무원이상의공무원을장으로하는국가기관 : 4급이상공무원또는그에상당하는공무원라. 가목부터다목까지의규정에따른국가기관외의국가기관 ( 소속기관을포함한다 ): 해당기관의개인정보처리관련업무를담당하는부서의장마. 시ㆍ도및시ㆍ도교육청 : 3급이상공무원또는그에상당하는공무원바. 시ㆍ군및자치구 : 4급공무원또는그에상당하는공무원사. 제2조제5호에따른각급학교 : 해당학교의행정사무를총괄하는사람 30
아. 가목부터사목까지의규정에따른기관외의공공기관 : 개인정보처리관련업무를담당하는부서의장으로서공공기관의장이지정하는사람 2. 공공기관외의경우 : 다음각목의어느하나에해당하는사람가. 사업주또는대표자나. 개인정보처리관련업무를담당하는부서의장또는개인정보보호에관한소양이있는사람 개인정보보호책임자의지정 - 개인정보처리자는개인정보보호책임자의자격요건에부합하는사람을개인정보보호책임자로지정하여야한다. 개인정보보호책임자의지정시에는인사발령등을통해공식적으로책임과역할을부여하여야한다. TIP 개인정보처리자가동창회, 동호회등친목도모를위한단체를운영하기위하여개인정보를처리하는경우에는개인정보보호책임자를지정하지않아도된다. 근거 : 개인정보보호법제58조 ( 적용의일부제외 ) 3 개인정보처리자가동창회, 동호회등친목도모를위한단체를운영하기위하여개인정보를처리하는경우에는제15조, 제30조및제31조 ( 개인정보보호책임자의지정 ) 를적용하지아니한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 2. 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 개인정보보호책임자의역할 - 개인정보보호책임자는개인정보의처리에관한업무를총괄해서책임지는역할을수행하는사람으로, 개인정보보호를위해개인정보와관련된내부지침을준수하도록기술적 관리적보호조치를실시하고관리 감독하는책임을진다. - 또한, 정보주체의불만사항접수및처리에대한책임을지며, 개인정보를취급하는직원에대해교육훈련을실시하여야한다. 개인정보를취급하는업무를외부에위탁한경우, 개인정보보호책임자는해당위탁자의개인정보관리현황을지속적으로확인해야한다. 개인정보의안전성확보조치기준해설서 31
02. 개인정보의안전성확보조치조문별해설 [ 개인정보보호법제 31 조제 2 항 ] 제31조 ( 개인정보보호책임자의지정 ) 2 개인정보보호책임자는다음각호의업무를수행한다. 1. 개인정보보호계획의수립및시행 2. 개인정보처리실태및관행의정기적인조사및개선 3. 개인정보처리와관련한불만의처리및피해구제 4. 개인정보유출및오용 남용방지를위한내부통제시스템의구축 5. 개인정보보호교육계획의수립및시행 6. 개인정보파일의보호및관리 감독 7. 그밖에개인정보의적절한처리를위하여대통령령으로정한업무 [ 개인정보보호법시행령제 32 조제 1 항 ] 제32조 ( 개인정보보호책임자의업무및지정요건등 ) 1 법제31조제2항제7호에서 대통령령으로정한업무 란다음각호와같다. 1. 법제30조에따른개인정보처리방침의수립ㆍ변경및시행 2. 개인정보보호관련자료의관리 3. 처리목적이달성되거나보유기간이지난개인정보의파기 개인정보취급자의역할및책임 - 개인정보취급자 는개인정보처리자의지휘 감독을받아개인정보를처리하는자로서개인정보를처리함에있어서개인정보가안전하게관리될수있도록해야한다. - 개인정보취급자 는기업 단체 공공기관의임직원, 외부기관에서또는외부기관으로파견된근로자, 계약직원, 아르바이트직원등의시간제근로자등이해당될수있다. [ 개인정보취급자의역할및책임예시 ] 개인정보보호활동참여 내부관리계획의준수및이행 개인정보의안전성확보조치기준이행 소속직원또는제3자에의한위법 부당한개인정보침해행위에대한점검등 32
3. 개인정보의안전성확보에필요한조치에관한사항 개인정보의안전성확보에필요한조치에관한사항을빠짐없이내부관리계획에포함해야한다. 세부내용은해설서각항목에해당하는부분을확인한다. TIP 안전성확보에필요한조치사항 : 제4조 ( 접근권한의관리 ), 제5조 ( 접근통제 ), 제6조 ( 개인정보의암호화 ), 제7조 ( 접속기록의보관및점검 ), 제8조 ( 악성프로그램등방지 ), 제9조 ( 물리적접근방지 ), 제10조 ( 개인정보의파기 ) 4. 개인정보취급자에대한교육에관한사항 개인정보보호교육의목적은안전하게개인정보가관리될수있도록개인정보취급자의개인정보보호에대한인식을제고시키고개인정보보호대책의필요성을이해시키는것이다. 개인정보처리자는개인정보보호책임자및개인정보취급자를대상으로매년정기적으로개인정보보호교육을실시하여야한다. 특히, 개인정보취급자가정보주체의개인정보를훼손 침해 누설할경우에는중벌에처해지므로, 교육시이러한점을개인정보취급자에게인식시키기위해노력해야한다. 개인정보보호교육의구체적인사항에는교육을하는목적, 교육대상, 교육내용 ( 프로그램등포함 ), 교육일정및방법등을포함하고, 내부관리계획또는임직원의결재를얻은 년개인정보보호교육계획 ( 안 ) 과같은문서를통해관리하도록한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 교육방법은집체교육뿐아니라조직의환경을고려하여인터넷교육, 그룹웨어교육등다양한 방법을활용하여실시하도록하고, 필요한경우외부전문기관이나전문요원에위탁하여교육을 실시할수도있다. TIP 행정자치부가운영하는개인정보보호종합지원포털 (http://www.privacy.go.kr) 에서제공하는온라인 교육프로그램, 개인정보보호교육교재등을활용할수있다. 개인정보의안전성확보조치기준해설서 33
02. 개인정보의안전성확보조치조문별해설 교육내용에는해당업무를수행하기위한분야별전문기술교육뿐만아니라개인정보보호관련 법률및제도, 사내규정등필히알고있어야하는기본적인내용을포함하여교육을실시하도록 한다. 교육내용에포함될수있는예시는다음과같은사항들이있다. [ 개인정보보호교육내용예시 ] 개인정보보호의중요성설명 내부관리계획의준수및이행 위험및대책이포함된조직보안정책, 보안지침, 지시사항, 위험관리전략 개인정보처리시스템의안전한운영 사용법 ( 하드웨어, 소프트웨어등 ) 개인정보의안전성확보조치기준 개인정보보호위반을보고해야할필요성 개인정보보호업무의절차, 책임, 작업설명 개인정보보호관련자들의금지항목들 개인정보보호준수사항이행관련절차 개인정보유 노출및침해신고등에따른사실확인및보고, 피해구제등업무절차등 5. 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 개인정보처리자는개인정보처리업무위탁시수탁자에게제공된개인정보를안전하게관리할책임이있다. 따라서개인정보처리업무를위탁하는경우, 개인정보보호법제26조및동법시행령에규정된사항을준수하고수탁자가개인정보를안전하게처리할수있도록수탁자관리및감독에관한사항을내부관리계획에포함해야한다. 34
[ 개인정보보호법제 26 조 ] 제26조 ( 업무위탁에따른개인정보의처리제한 ) 1 개인정보처리자가제3자에게개인정보의처리업무를위탁하는경우에는다음각호의내용이포함된문서에의하여야한다. 1. 위탁업무수행목적외개인정보의처리금지에관한사항 2. 개인정보의기술적 관리적보호조치에관한사항 3. 그밖에개인정보의안전한관리를위하여대통령령으로정한사항 2 제1항에따라개인정보의처리업무를위탁하는개인정보처리자는위탁하는업무의내용과개인정보처리업무를위탁받아처리하는자를정보주체가언제든지쉽게확인할수있도록대통령령으로정하는방법에따라공개하여야한다. 3 위탁자가재화또는서비스를홍보하거나판매를권유하는업무를위탁하는경우에는대통령령으로정하는방법에따라위탁하는업무의내용과수탁자를정보주체에게알려야한다. 위탁하는업무의내용이나수탁자가변경된경우에도또한같다. 4 위탁자는업무위탁으로인하여정보주체의개인정보가분실 도난 유출 변조또는훼손되지아니하도록수탁자를교육하고, 처리현황점검등대통령령으로정하는바에따라수탁자가개인정보를안전하게처리하는지를감독하여야한다. 개인정보처리업무위탁시문서화 ( 예 : 위탁계약서 ) 하는경우수탁자의무분별한개인정보재위탁, 개인정보관리소홀, 개인정보유출등을예방하고의무위반시손해배상책임등을명확하게하기위해다음의사항을포함하여작성하여야한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ [ 개인정보처리업무위탁문서화 ( 예 : 위탁계약서 ) 시포함사항 ] 위탁업무수행목적외개인정보의처리금지에관한사항 개인정보의기술적 관리적보호조치에관한사항 위탁업무의목적및범위 재위탁제한에관한사항 접근통제등안전성확보조치에관한사항 위탁업무와관련하여보유하고있는개인정보의관리현황점검등감독에관한사항 수탁자가준수하여야할의무를위반한경우의손해배상등에관한사항등 개인정보의안전성확보조치기준해설서 35
02. 개인정보의안전성확보조치조문별해설 내부관리계획에는개인정보처리업무위탁문서화내용에따라수탁자교육, 관리 감독이정확하게실제적으로이루어지도록관련사항을구체적으로포함해야한다. - 예를들어내부관리계획에 수탁자관리 감독 항목을만들고여기에위탁계약서의각내용별로관리 감독하기위한방법, 절차, 시기, 항목등을서술하는방법이있다. 개인정보처리자는내부관리계획에정해진바에따라정기적으로수탁자에대해관리 감독및교육을실시하고, 그결과에대한기록을남겨야하며문제점이발견된경우그에따른개선조치를하여야한다. [ 수탁자개인정보보호교육내용예시 ] 수탁업무의목적 범위, 목적외개인정보처리금지사항 수탁자개인정보처리시스템및업무용 PC의접근권한의관리, 접근통제, 개인정보의암호화, 접속기록의보관및점검, 악성프로그램방지등개인정보의안전성확보조치기준 수탁받은개인정보처리업무의안전성확보조치방법 수탁받은개인정보처리업무의목적달성또는계약해지시개인정보파기 개인정보취급자의의무 수탁업무와관련하여개인정보관리현황점검등감독에관한사항 수탁자가준수하여야할의무를위반한경우의손해배상등에관한사항 6. 그밖에개인정보보호를위하여필요한사항 개인정보처리자의개인정보처리 ( 수집 이용 저장 제공 파기등 ) 환경및중요도 ( 민감정보처리등 ) 를고려하여보안서약서작성등개인정보보호를위하여필요한사항을기술할수있다. 보안서약서작성 - 조직에서임직원들의기밀정보유출위험을최소화하고, 임직원에게개인정보보호에대한책임을명확히주지시키기위해보안서약서에서명하도록한다. - 보안서약서의서명은개인정보보호를위한기본적인절차중하나로인식되고이행될필요가있다. 이러한절차는일반적으로신규인력채용시인력관리부서에의해수행될수있다. - 보안서약서에는일반적으로 고객개인정보보호, 회사영업비밀보호등의의무 에관한내용과서명날짜, 서명자정보및서명을포함하여야한다. 36
4. 접근권한의관리 제4조 ( 접근권한의관리 ) 1 개인정보처리자는개인정보처리시스템에대한접근권한을업무수행에필요한최소한의범위로업무담당자에따라차등부여하여야한다. 2 개인정보처리자는전보또는퇴직등인사이동이발생하여개인정보취급자가변경되었을경우지체없이개인정보처리시스템의접근권한을변경또는말소하여야한다. 3 개인정보처리자는제1항및제2항에의한권한부여, 변경또는말소에대한내역을기록하고, 그기록을최소 3년간보관하여야한다. 4 개인정보처리자는개인정보처리시스템에접속할수있는사용자계정을발급하는경우, 개인정보취급자별로사용자계정을발급하여야하며, 다른개인정보취급자와공유되지않도록하여야한다. 5 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를설정하여이행할수있도록비밀번호작성규칙을수립하여적용하여야한다. 취지 접근권한관리의목적은개인정보처리시스템에대하여업무목적외불필요한접근을최소화하고, 인사이동등권한변경사항발생에따른인가되지않는접근을차단하는데있다. 접근권한은업무수행에필요한최소한의범위로업무담당자에게차등부여되어야하며인사이동이나권한변경발생시지체없이해당권한을변경또는말소하고, 개인정보유출예방및대응등을위해개인정보취급자별로사용자계정을발급하여관리하여야한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 해설 1 개인정보처리자는개인정보처리시스템에대한접근권한을업무수행에필요한최소한의 범위로업무담당자에따라차등부여하여야한다. 개인정보의안전성확보조치기준해설서 37
02. 개인정보의안전성확보조치조문별해설 개인정보의분실 도난 유출 변조또는훼손을방지하기위하여개인정보처리시스템에대한 접근권한은업무수행목적에따라필요최소한의범위로업무담당자에게차등부여하고 접근통제를위한조치를취해야한다. TIP 예를들어개인정보보호책임자에게는전체권한 ( 읽기 / 쓰기 / 변경 ) 을부여하고, 개인정보취급자에게는 일부권한 ( 읽기 ) 만부여하는등접근권한에차등을두어야한다. 2 개인정보처리자는전보또는퇴직등인사이동이발생하여개인정보취급자가변경되었을경우지체없이개인정보처리시스템의접근권한을변경또는말소하여야한다. 3 개인정보처리자는제1항및제2항에의한권한부여, 변경또는말소에대한내역을기록하고, 그기록을최소 3년간보관하여야한다. 조직내의임직원전보또는퇴직등인사이동등으로사용자계정의변경 말소가필요한경우에는공식적인사용자계정관리절차에따라통제될수있도록한다. - 내부인력의퇴직시해당인력의계정을지체없이변경하도록지침에반영하여이행하도록한다. - 임직원의퇴직시계정말소를효과적으로이행하기위해서는퇴직점검표에사용계정의말소항목을반영하여, 계정의말소여부에대해확인을받을수있다. 개인정보처리자는제1항및제2항에의한권한부여, 변경, 말소에대한내역을기록하고해당기록을최소 3년간보관하여야한다. 4 개인정보처리자는개인정보처리시스템에접속할수있는사용자계정을발급하는경우, 개인 정보취급자별로사용자계정을발급하여야하며, 다른개인정보취급자와공유되지않도록 하여야한다. 개인정보처리시스템에접속할수있는사용자계정은개인정보취급자별로발급하고다른개인 정보취급자와공유되지않도록하여야한다. - 다수의개인정보취급자가동일한업무를수행한다하더라도하나의사용자계정을공유하지 38
않도록개인정보취급자별로아이디 (ID) 를발급하여사용하고, 각개인정보취급자별개인정보처리내역에대한책임추적성 (Accountability) 을확보하여야한다. 책임추적성이란개인정보취급에따른문제발생시사용자계정을기반으로책임소재를파악하는것을말한다. TIP 한명의개인정보취급자가여러업무를수행해야하는경우, 해당개인정보취급자에게각업무별로사용자계정을발급할수있다. ( 예 : 개인정보취급자 1명이서로권한이다른조회, 삭제등 2개의업무수행시, 조회업무용과삭제업무용으로구분하여 2개의사용자계정발급가능 ) 5 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를설정하여이행할수있도록비밀번호작성규칙을수립하여적용하여야한다. 개인정보처리자는개인정보취급자나정보주체가안전한비밀번호를설정하여이행할수있도록비밀번호작성규칙을수립하고이를개인정보처리시스템, 접근통제시스템등에적용하여운영하여야한다. 다만, 정보주체의비밀번호는정보주체의편의성등을고려하여개인정보처리자가자율적으로적절한수준을설정하는것이필요하다. - 비밀번호는산업스파이, 침입자, 비인가자가추측하기어려운문자와숫자를포함하도록하거나, 전에사용된비밀번호를다시사용하지않는등의다음과같은비밀번호설정원칙을참고하여생성하도록한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 비밀번호의최소길이 : 비밀번호는구성하는문자의종류에따라최소 10자리또는 8자리이상의길이로구성하여야하며, 이는정보주체에대한비밀번호작성규칙과는달리반드시준수하여야한다 컴퓨터관련기술의발달에따라비밀번호의최소길이는늘어날수있고, 변경주기는짧아질수있다. 최소 10자리이상 : 영대문자 (A~Z, 26개 ), 영소문자 (a~z, 26개 ), 숫자 (0~9, 10개 ) 및특수문자 (32개) 중 2종류이상으로구성한경우 최소 8자리이상 : 영대문자 (A~Z, 26개 ), 영소문자 (a~z, 26개 ), 숫자 (0~9, 10개 ) 및특수문자 (32개) 중 3종류이상으로구성한경우 특수문자 32개예시 ~! @ # $ % ^ & * ( ) _ - + = [ ] [ ] 개인정보의안전성확보조치기준해설서 39
02. 개인정보의안전성확보조치조문별해설 - 추측하기어려운비밀번호의생성 : 생성한비밀번호에 12345678 등과같은일련번호, 전화번호등과같은쉬운문자열이포함되지않도록한다. love, happy 등과같은잘알려진단어또는키보드상에서나란히있는문자열도포함되지않도록한다. - 비밀번호의주기적인변경 : 비밀번호에유효기간을설정하고적어도 6개월마다변경함으로써동일한비밀번호를장기간사용하지않는다. - 동일한비밀번호사용제한 : 2개의비밀번호를교대로사용하지않는다. 40
5. 접근통제 제5조 ( 접근통제 ) 1 개인정보처리자는정보통신망을통한불법적인접근및침해사고방지를위해다음각호의기능을포함한조치를하여야한다. 1. 개인정보처리시스템에대한접속권한을 IP(Internet Protocol) 주소등으로제한하여인가받지않은접근을제한 2. 개인정보처리시스템에접속한 IP(Internet Protocol) 주소등을분석하여불법적인개인정보유출시도를탐지 2 개인정보처리자는개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에접속하려는경우에는가상사설망 (VPN : Virtual Private Network) 또는전용선등안전한접속수단을적용하여야한다. 3 개인정보처리자는인터넷홈페이지에서다른법령에근거하여정보주체의본인확인을위해성명, 주민등록번호를사용할수있는경우에도정보주체의추가적인정보를반드시확인하여야한다. 4 개인정보처리자는취급중인개인정보가인터넷홈페이지, P2P, 공유설정, 공개된무선망이용등을통하여열람권한이없는자에게공개되거나유출되지않도록개인정보처리시스템, 업무용컴퓨터및모바일기기등에조치를하여야한다. 5 고유식별정보를처리하는개인정보처리자는인터넷홈페이지를통해고유식별정보가유출 변조 훼손되지않도록연 1회이상취약점을점검하여야한다. 6 개인정보처리자가별도의개인정보처리시스템을이용하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는제1항을적용하지아니할수있으며, 이경우업무용컴퓨터또는모바일기기의운영체제 (OS : Operating System) 나보안프로그램등에서제공하는접근통제기능을이용할수있다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 7 개인정보처리자는업무용모바일기기의분실 도난등으로개인정보가유출되지 않도록해당모바일기기에비밀번호설정등의보호조치를하여야한다. 취지 접근통제의목적은정보통신망을통해개인정보처리시스템에대한인가되지않은불법적인접근을 차단하는것으로, 정보통신망, 인터넷홈페이지, 업무용컴퓨터나모바일단말등개인정보를 개인정보의안전성확보조치기준해설서 41
02. 개인정보의안전성확보조치조문별해설 처리하는각요소에서적절한접근통제정책의구현을통해불법적인접근이적절히차단되어야한다. 이를위해정보통신망에서 IP 주소를통한비인가자의접근제한, 가상사설망 (VPN) 등을이용한안전한접속, 인터넷홈페이지의취약점점검, 업무용컴퓨터또는모바일기기의보호조치등의접근통제조치가필요하다. 해설 1 개인정보처리자는정보통신망을통한불법적인접근및침해사고방지를위해다음각호의기능을포함한조치를하여야한다. 1. 개인정보처리시스템에대한접속권한을 IP(Internet Protocol) 주소등으로제한하여인가받지않은접근을제한 2. 개인정보처리시스템에접속한 IP(Internet Protocol) 주소등을분석하여불법적인개인정보유출시도를탐지 개인정보처리자는개인정보처리시스템에서정보통신망을통한불법적인접근및침해사고를방지하기위해아래의기능을포함한장비설치 운영등의조치를하여야한다. - 개인정보처리시스템에대한접속권한을 IP(Internet Protocol) 주소등으로제한하여인가받지않은접근을제한 ( 침입차단기능 ) - 개인정보처리시스템에접속한 IP(Internet Protocol) 주소등을분석하여불법적인개인정보유출시도를탐지 ( 침입탐지기능 ) 침입차단및침입탐지기능을갖춘장비의설치방법예시 - 침입차단시스템및침입탐지시스템을설치 운영하거나, 침입차단시스템과침입탐지시스템이동시에구현된침입방지시스템 (IPS : Intrusion Prevention System), 웹방화벽또는보안운영체제 (Secure OS) 등을도입할수있다. - 또한, 스위치등의네트워크장비에서제공하는 ACL(Access Control List : 접근제어목록 ) 등기능을이용하여 IP 주소등을제한함으로써침입차단기능을구현할수있다. - 인터넷데이터센터 (IDC), 클라우드서비스, 보안업체등에서제공하는보안서비스 ( 방화벽, 침입방지, 웹방화벽등 ) 를활용함으로써초기투자비용등을줄일수있다. - 공개용 ( 무료 ) 소프트웨어를사용하거나, 운영체제 (OS) 에서제공하는기능을활용하여해당 42
기능을포함한시스템을설치 운영할수있다. 다만, 공개용 ( 무료 ) 소프트웨어를사용하는 경우에는적절한보안이이루어지는지를사전에점검하여야한다. 불법적인접근및침해사고방지를위해서는침입차단및침입탐지기능을갖는장비설치와 더불어적절한침입차단및침입탐지정책설정, 로그분석및이상행위대응, 로그훼손방지등 적절한운영 관리가필요하다. 2 개인정보처리자는개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에 접속하려는경우에는가상사설망 (VPN : Virtual Private Network) 또는전용선등안전한 접속수단을적용하여야한다. 외부망으로부터개인정보처리시스템에대한접속은원칙적으로차단하여야한다. 다만개인 정보처리자가외부망을통해개인정보처리시스템에접속이필요한경우에는가상사설망 (VPN : Virtual Private Network) 또는전용선등의안전한접속수단을적용하여야한다. - 노트북과같은업무용컴퓨터, 모바일기기등으로외부에서정보통신망을통해개인정보처리 시스템에접속하는경우에도가상사설망, 전용선등의안전한접속수단을적용하여야한다. - 가상사설망 (VPN : Virtual Private Network) 은개인정보취급자가사업장내의개인정보처리 시스템에대해원격으로접속할때 IPsec 이나 SSL 기반의암호프로토콜을사용한터널링 기술을통해안전한암호통신을할수있도록해주는보안시스템을의미한다. IPsec(IP Security Protocol) 은인터넷프로토콜 (IP) 통신보안을위해패킷에암호화기술이적용된프로토콜집합 SSL(Secure Sockets Layer) 은웹브라우저와웹서버간에데이터를안전하게주고받기위해암호화기술이 적용된보안프로토콜 IPsec, SSL 등의기술이사용된가상사설망을안전하게사용하기위해서는, 잘알려진취약점 ( 예 : Open SSL 의 Heart Bleed 취약점 ) 들을조치하고사용할필요가있다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ [ 가상사설망및전용선구성예시 ] 전용선 인터넷 서버 PC 서버 PC VPN [ 본사 ] [ 지사 ] 개인정보의안전성확보조치기준해설서 43
02. 개인정보의안전성확보조치조문별해설 3 개인정보처리자는인터넷홈페이지에서다른법령에근거하여정보주체의본인확인을위해 성명, 주민등록번호를이용하는경우에도정보주체의추가적인정보를반드시확인하여야 한다. 인터넷홈페이지에서성명, 주민등록번호만으로정보주체의본인여부를확인한후서비스를제공할경우해커등타인이유출된개인정보를도용하여서비스를이용할수있다. 이를방지하기위해정보주체의추가정보를반드시확인하여야한다. 정보주체의추가적인정보를확인하는방법에는 i-pin, 공인인증서, 휴대전화, 주민등록증발급일자, 전자우편 (e-mail) 주소등의수단중하나의수단을이용한정보주체의본인확인, 인증등이이에해당한다. [ 추가적인정보확인예시 ] [ 실명확인 ] [ 아이핀 ] [ 휴대폰 ] [ 공인인증서 ] 4 개인정보처리자는취급중인개인정보가인터넷홈페이지, P2P, 공유설정, 공개된무선망 이용등을통하여열람권한이없는자에게공개되거나유출되지않도록개인정보처리시스템, 업무용컴퓨터및모바일기기등에조치를하여야한다. 개인정보처리자는취급중인개인정보가인터넷홈페이지를통해열람권한이없는자에게공개 되거나유출되지않도록다음과같은항목등을고려하여조치할수있다. - 잘알려진웹취약점항목들을포함함웹취약점점검및조치 웹취약점점검항목예시 : SQL_Injection 취약점, CrossSiteScript 취약점, File Upload 취약점, ZeroBoard 취약점, Directory Listing 취약점, File Download 취약점등 잘알려진웹취약점점검항목은행정자치부, OWASP( 국제웹표준기구 ), 국가사이버안전센터 (NCSC) 등에서발표하는항목참조 - 인터넷홈페이지중서비스제공에사용되지않거나관리되지않는사이트또는 URL(Uniform Resource Locator) 에대한삭제또는차단조치 44
- 관리자페이지홈페이지에대해노출차단등의보호조치 - 웹취약점점검과함께정기적으로웹쉘등을점검하고조치하는경우취급중인개인정보가 인터넷홈페이지를통해열람권한이없는자에게공개되거나유출되는위험성을더욱줄일수 있다. 개인정보처리자는개인정보처리시스템, 업무용컴퓨터, 모바일기기에서 P2P, 공유설정은 기본적으로사용하지않는것이원칙이나, 업무상꼭필요한경우에는권한설정등의조치를 통해권한이있는자만접근할수있도록설정하여취급중인개인정보가열람권한이없는자에게 공개되거나유출되지않도록하여야한다. - 업무상꼭필요한경우라도드라이브전체또는불필요한폴더가공유되지않도록조치하고, 공유폴더에개인정보파일이포함되지않도록정기적으로점검하여조치하도록한다. P2P, 웹하드등의사용을제한하는경우에도단순히사용금지조치를취하는것이아니라시스템상에서해당포트를차단하는등근본적인조치를취하는것이필요하다. 개인정보처리자는공개된무선망을이용하여개인정보를처리하는경우취급중인개인정보가 신뢰되지않은무선접속장치 (AP), 무선전송구간및무선접속장치 (AP) 의취약점등에의해 열람권한이없는자에게공개되거나유출되지않도록개인정보처리시스템, 업무용컴퓨터및 모바일기기등에조치를하여야하며, 다음과같은방식들을활용할수있다. - 개인정보송 수신시 SSL, VPN 등의보안기술이적용된전용프로그램을사용하여송 수신 또는암호화송 수신 예시 : 모바일기기, 노트북에서개인정보처리시스템에개인정보전송시, 전송암호화기능이탑재된별도의앱 (App) 이나프로그램을설치하고이를이용하여전송 - 개인정보가포함된파일송 수신시파일암호화저장후송 수신 예시 : 모바일기기, 노트북에서개인정보처리시스템에개인정보가포함된파일전송시, 암호화저장한후전송 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ - 개인정보유출방지조치가적용된공개된무선망이용 예시 : 모바일기기, 노트북에서설치자를신뢰할수있고관리자비밀번호등을포함한알려진보안취약점이조치된 무선접속장치 (AP) 에안전한비밀번호를적용한 WPA2(Wi-Fi Protected Access 2) 보안프로토콜을사용하는 - 기타 공개된무선망사용 공개된무선망에서개인정보송 수신시유출방지기술이적용된방법사용 5 고유식별정보를처리하는개인정보처리자는인터넷홈페이지를통해고유식별정보가유출 변조 훼손되지않도록연 1 회이상취약점을점검하여야한다. 개인정보의안전성확보조치기준해설서 45
02. 개인정보의안전성확보조치조문별해설 인터넷홈페이지를통해고유식별정보 ( 주민등록번호, 운전면허번호, 외국인등록번호, 여권번호 ) 를 처리하는경우에, 개인정보처리자는고유식별정보가유출 변조 훼손되지않도록해당인터넷 홈페이지에대해연 1 회이상취약점을점검하여야하며, 문제점이발견된경우그에따른개선 조치를하여야한다. - 고유식별정보를처리하는인터넷홈페이지의웹취약점점검시잘알려진웹취약점항목들이 포함되도록할필요가있다. 웹취약점점검항목예시 : SQL_Injection 취약점, CrossSiteScript 취약점, File Upload 취약점, ZeroBoard 취약점, Directory Listing 취약점, File Download 취약점등 잘알려진웹취약점점검항목은행정자치부, OWASP( 국제웹표준기구 ), 국가사이버안전센터 (NCSC) 등에서발표하는항목참조 TIP 고유식별정보를처리하지않는인터넷홈페이지는연 1 회이상취약점점검이필수는아니나, 개인정보 유출등에대비해서가급적취약점점검을권장한다. - 웹취약점점검과함께시큐어코딩을적용하고, 정기적으로관리자페이지노출및웹쉘등을점검하고조치하는경우인터넷홈페이지를통한고유식별정보의유출 변조 훼손의위험을더욱줄일수있다. 인터넷홈페이지의취약점점검시에는기록을남겨책임추적성확보및향후개선조치등에활용할수있도록할필요가있다. 인터넷홈페이지의취약점점검은개인정보처리자의자체인력, 보안업체등을활용할수있으며, 취약점점검은상용도구, 공개용도구, 자체제작도구등을사용할수있다. TIP 인터넷홈페이지취약점점검및조치에활용할수있는기술문서는다음을포함한다양한자료가있다. 소프트웨어개발보안가이드 ( 안전행정부, 2013.11.) 시큐어코딩가이드 (C, Java)( 행정안전부, 2012.9.) Web 2.0 정보보호실무가이드 ( 행정안전부, 2010.5.) 홈페이지취약점진단 제거가이드 (KISA, 2013.12.) 인터넷홈페이지취약점점검을위해소상공인, 중소사업자, 비영리단체는한국인터넷진흥원 (KISA) 에서제공하는무료웹취약점점검서비스이용할수있으며, 개인정보보호종합지원포털 (http: //www.privacy.go.kr) 에서점검을신청할수있다. 46
6 개인정보처리자가별도의개인정보처리시스템을이용하지아니하고업무용컴퓨터또는 모바일기기를이용하여개인정보를처리하는경우에는제 1 항을적용하지아니할수있으며, 이경우업무용컴퓨터또는모바일기기의운영체제 (OS : Operating System) 나보안프로그램 등에서제공하는접근통제기능을이용할수있다. 개인정보처리시스템을이용하지않고단순히업무용컴퓨터또는모바일기기를이용하여 개인정보를저장하는등의처리를하는경우운영체제나보안프로그램에서제공하는접근통제 기능을이용할수있다. - PC, 노트북등의업무용컴퓨터의운영체제 (OS) 에서제공하는접근통제기능설정방법은 다음과같으며, 별도의보안프로그램을사용하여접근통제기능을설정하고이용할수도있다. [ 업무용컴퓨터 ( 윈도우의경우 ) 방화벽설정방법 ] 업무용컴퓨터 : 제어판 Windows 방화벽 Windows 방화벽설정또는해제 업무용컴퓨터운영체제에서제공하는개인용방화벽설정시외부 IP 로부터시도되는불법적인접근등을차단한다. - 스마트폰, 태블릿 PC 등모바일기기에서도운영체제 (OS) 나별도의보안프로그램에서제공하는 접근통제기능을이용할수있다. 모바일기기에서는불필요한네트워크소프트웨어통제, 인입포트차단등의접근통제기능을제공하는운영체제를사용할수있으며, 이러한기능을제공하지않거나보다확장된접근통제기능을사용이필요한경우에는접근통제기능을제공하는별도의방화벽등의어플리케이션 (App) 을설치 운영이필요할수있다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 7 개인정보처리자는업무용모바일기기의분실 도난등으로개인정보가유출되지않도록 해당모바일기기에비밀번호설정등의보호조치를하여야한다. 업무용모바일기기는성능이높아대량의개인정보를저장하거나전송할수있으나, 휴대와이동이편리하여기기분실 도난시해당기기에저장된또는해당기기의개인정보처리시스템접속등을통한개인정보유출의위험성이높다. 따라서, 스마트폰, 태블릿PC와같이업무에사용되는모바일기기는분실 도난으로개인정보가유출되지않도록개인정보처리자의기기운영환경및처리되는개인정보의중요도등을고려하여조치가필요하며, 다음과같은항목들을조치항목으로고려할수있다. - 비밀번호, 패턴, PIN 등을사용하여화면잠금설정 개인정보의안전성확보조치기준해설서 47
02. 개인정보의안전성확보조치조문별해설 [ 화면잠금설정예시 ] [ 비밀번호 ] [ 패턴입력 ] - 디바이스암호화로애플리케이션, 데이터등암호화 - USIM 카드에저장된개인정보보호를위한 USIM 카드잠금설정 - 모바일기기제조사및이동통신사가제공하는기능을이용한원격잠금, 원격데이터삭제등의조치 TIP 모바일기기의도난또는분실시원격잠금, 데이터삭제등을위해제조사별로지원하는 킬스위치 (Kill Switch) 서비스 나이동통신사의 잠금앱서비스 를이용할수있다. - 중요한개인정보를처리하는모바일기기는 MDM(Mobile Device Management) 등모바일 단말관리프로그램을설치하여원격잠금, 원격데이터삭제, 접속통제등의조치 MDM 은무선망을이용해원격으로스마트폰, 태블릿 PC 등의모바일기기를제어하는솔루션으로, 분실된모바일기기의위치를추적, 원격잠금설정, 원격정보삭제, 특정사이트접속제한, 카메라등기능제어, 앱설치통제등의기능제공 48
6. 개인정보의암호화 제6조 ( 개인정보의암호화 ) 1 영제21조및영제30조제1항제3호에따라암호화하여야하는개인정보는고유식별정보, 비밀번호및바이오정보를말한다. 2 개인정보처리자는제1항에따른개인정보를정보통신망을통하여송 수신하거나보조저장매체등을통하여전달하는경우에는이를암호화하여야한다. 3 개인정보처리자는비밀번호및바이오정보는암호화하여저장하여야한다. 단비밀번호를저장하는경우에는복호화되지아니하도록일방향암호화하여저장하여야한다. 4 개인정보처리자는인터넷구간및인터넷구간과내부망의중간지점 (DMZ : Demilitarized Zone) 에고유식별정보를저장하는경우에는이를암호화하여야한다. 5 개인정보처리자가내부망에고유식별정보를저장하는경우에는다음각호의기준에따라암호화의적용여부및적용범위를정하여시행할수있다. 1. 법제33조에따른개인정보영향평가의대상이되는공공기관의경우에는해당개인정보영향평가의결과 2. 위험도분석에따른결과 6 개인정보처리자는제1항에따른개인정보를암호화하는경우안전한암호알고리즘으로암호화하여저장하여야한다. 7 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를저장하여관리하는경우상용암호화소프트웨어또는안전한암호화알고리즘을사용하여암호화저장하여야한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 취지 비밀번호, 바이오정보, 주민등록번호등과같은주요개인정보가암호화되지않고개인정보처리 시스템에저장되거나네트워크를통해전송될경우, 노출및위 변조등의위험이있으므로 암호화등의안전한보호조치가제공되어야한다. 암호화 는개인정보취급자의실수또는해커의공격등으로인해개인정보가비인가자에게유 노출되더라도그내용확인을어렵게하는보안기술이다. 개인정보의안전성확보조치기준해설서 49
02. 개인정보의안전성확보조치조문별해설 해설 1 영제 21 조및영제 30 조제 1 항제 3 호에따라암호화하여야하는개인정보는고유식별정보, 비밀번호및바이오정보를말한다. 고유식별정보 는개인을고유하게구별하기위하여부여된식별정보를말하며주민등록번호, 여권번호, 운전면허번호, 외국인등록번호가여기에해당한다. 비밀번호 는정보주체또는개인정보취급자등이개인정보처리시스템, 업무용컴퓨터, 모바일기기또는정보통신망에접속할때식별자와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다. 바이오정보 는지문, 얼굴, 홍채, 정맥, 음성, 필적등개인을식별할수있는신체적또는행동적특징에관한정보로서최초로수집되어가공되지않은 원본정보 와가공되거나생성된특징정보를포함한다. 2 개인정보처리자는제 1 항에따른개인정보를정보통신망을통하여송 수신하거나보조 저장매체등을통하여전달하는경우에는이를암호화하여야한다. 개인정보처리자는정보통신망을통하여내 외부로송 수신할고유식별정보 ( 주민등록번호, 운전면허번호, 외국인등록번호, 여권번호 ), 비밀번호, 바이오정보에대해서는암호화하여야한다. TIP 내부망내에서송 수신되는고유식별정보는업무상필요할경우암호화대상에서제외할수있으나, 비밀번호와바이오정보는반드시암호화하여야한다. 전용선을이용하여개인정보를송 수신하는경우, 암호화가필수는아니나내부자에의한개인정보유출등에대비해서가급적암호화전송을권장한다. 정보통신망을통한개인정보암호화전송을위해 SSL 등의통신암호프로토콜이탑재된기술을 활용하거나, 개인정보를암호화저장한후이를전송하는방법등을사용할수있다. SSL(Secure Sockets Layer) 은웹브라우저와웹서버간에데이터를안전하게주고받기위해암호화기술이적용된보안프로토콜이다. 50
[ SSL 적용예시 ] [ 일반웹주소 ] [ SSL 적용웹주소 ] SSL 인증서발급 01011010010111... 암호와통신, 사용자인증 [ 인증기관 (CA) ] [ SSL 설치웹서버 ] [ 사용자 ] 개인정보암호화전송기술사용시안전한전송을위해잘알려진취약점 ( 예 : Open SSL 사용시 HeartBleed 취약점 ) 들을조치하고사용할필요가있다. 보조저장매체 를통해고유식별정보, 비밀번호, 바이오정보를전달하는경우에도암호화하여야 하며, 이를위해다음과같은방법등이사용될수있다. - 암호화기능을제공하는보안 USB 등의보조저장매체에저장하여전달 - 해당개인정보를암호화저장한후보조저장매체에저장하여전달 3 개인정보처리자는비밀번호및바이오정보는암호화하여저장하여야한다. 단비밀번호를 저장하는경우에는복호화되지아니하도록일방향암호화하여저장하여야한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 개인정보처리자는비밀번호, 바이오정보 ( 지문, 홍채등 ) 가노출또는위 변조되지않도록암호화하여저장하여야하며, 특히비밀번호의경우에는복호화되지않도록일방향 ( 해쉬함수 ) 암호화하여야한다. 일방향암호화는저장된값으로원본값을유추하거나복호화할수없도록한암호화방법으로, 인증검사시에는사용자가입력한비밀번호를일방향함수에적용하여얻은결과값과시스템에저장된값을비교하여인증된사용자임을확인한다. 개인정보의안전성확보조치기준해설서 51
02. 개인정보의안전성확보조치조문별해설 [ 일방향 ( 해쉬함수 ) 암호화 ] 일방향 ( 해쉬함수 ) 암호화는입력된데이터를자르고치환하거나위치를바꾸는등의방법을사용해길이가고정된결과를만들어내는방법을의미한다. 일방향 ( 해쉬함수 ) 암호화의가장기본적인성질은두해쉬결과가다르다면원래의데이터도어딘가다르다는것을의미하며, 원래입력의한비트만바뀌더라도해쉬결과는크게달라진다. 바이오정보의경우, 복호화가가능한양방향암호화저장이필요하나, 이는식별및인증등의 고유기능에사용되는경우로한정되며콜센터등일반민원상담시저장되는음성기록이나일반 사진정보는암호화대상에서제외된다. 4 개인정보처리자는인터넷구간및인터넷구간과내부망의중간지점 (DMZ : Demilitarized Zone) 에고유식별정보를저장하는경우에는이를암호화하여야한다. 인터넷구간은개인정보처리시스템과인터넷이직접연결되어있는구간, DMZ 구간은인터넷과내부망과인터넷구간사이에위치한중간지점으로침입차단시스템등으로접근제한등을수행하지만외부망에서직접접근이가능한영역을말한다. 내부망은접근통제시스템등에의해차단되어외부에서직접접근이불가능한영역을말한다. [ DMZ 구간예시 ] Internal Network Firewall DMZ Firewall www E-MAIL ( 인터넷 ) [ 내부네트워크 ] DNS PROXY [ 외부네트워크 ] 인터넷구간이나 DMZ 구간은외부에서직접접근이가능하므로외부자의침입을받을가능성이있다. 이에따라 DMZ 구간에주민등록번호, 외국인등록번호, 운전면허번호, 여권번호등의고유식별정보를저장하는경우암호화하여저장해야한다. 제2항에따른비밀번호및바이오정보를저장하는경우에도암호화하여저장해야한다. 52
주민등록번호를암호화저장하는경우, 속도등성능을고려하여일부정보만암호화조치를취할수있으며, 이경우뒷자리 6개번호이상을암호화조치하는것이바람직하다. 일부암호화의예시 : 010101-3****** 5 개인정보처리자가내부망에고유식별정보를저장하는경우에는다음각호의기준에따라암호화의적용여부및적용범위를정하여시행할수있다. 1. 법제33조에따른개인정보영향평가의대상이되는공공기관의경우에는해당개인정보영향평가의결과 2. 위험도분석에따른결과 내부망에고유식별정보를저장하는경우, 개인정보영향평가및위험도분석결과에따라암호화적용여부및적용범위를정하여시행할수있다. 영제38조에따라영향평가의대상이되는개인정보파일을운용하는공공기관은해당개인정보영향평가의결과에따라암호화의적용여부및적용범위를정하여시행할수있다. - 개인정보영향평가의실시대상이아니거나공공기관이외의개인정보처리자는위험도분석을실시한후그결과에따라고유식별정보의암호화적용여부및적용범위를정하여시행할수있다. 다만, 주민등록번호에대해서는 개인정보보호법 에따라 2016년 1월 1일부터내부망에저장시에도개인정보영향평가나위험도분석의결과에관계없이암호화하여야하며, 암호화적용대상및대상별적용시기등은 개인정보보호법 시행령에따른다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ TIP 개인정보영향평가수행을위한 개인정보영향평가수행안내서 등의관련자료는개인정보보호 종합지원포털 (http://www.privacy.go.kr) 에서다운로드할수있다. 위험도분석 은개인정보처리시스템에적용되고있는개인정보보호를위한수단과유출시정보주체의권리를해할가능성과그위험의정도를분석하는행위를말한다. - 세부적으로위험도분석은개인정보유출에영향을미칠수있는다양한위협에대한시스템취약점과이로인해서예상되는손실을분석하여위험요소를식별, 평가하고그러한위험요소를적절하게통제할수있는수단을체계적으로구현하고운영하는전반적인행위및절차로서위험관리의일부분이다. 개인정보의안전성확보조치기준해설서 53
02. 개인정보의안전성확보조치조문별해설 - 위험도분석 은개인정보를저장하는정보시스템에서개인정보파일단위로수행하고각 개별개인정보파일의위험점수에따라개별개인정보파일단위로암호화여부를결정해야하며, 위험도분석을수행한결과는최고경영층으로부터내부결재등의승인을받아야한다. TIP 위험도분석을위한세부기준인 개인정보위험도분석기준및해설서 는개인정보보호종합지원 포털 (http://www.privacy.go.kr) 에서다운로드할수있다. 6 개인정보처리자는제 1 항에따른개인정보를암호화하는경우안전한암호알고리즘으로 암호화하여저장하여야한다. 암호화대상인고유식별정보 ( 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 ), 비밀번호, 바이오정보를암호화하는경우안전한암호알고리즘으로암호화하여저장하여야하며, 안전한암호알고리즘 이란국내및미국, 일본, 유럽등의국외암호연구관련기관에서권고하는알고리즘을의미한다. TIP 안전한암호알고리즘, 암호화방식등은 개인정보암호화조치안내서 를참조하고, 해당자료는개인정보보호종합지원포털 (http://www.privacy.go.kr) 에서다운로드할수있다. 국내외암호연구관련기관은한국인터넷진흥원 (KISA) 의암호이용활성화홈페이지 (http://seed.kisa. or.kr) 의 암호표준화및유관기관 에서도확인가능하다. 안전한암호알고리즘을사용하더라도암호화키가잘못관리되어유 노출되는경우에는 암호화된정보들이유 노출될수있으므로이를안전하게관리하여야한다. 7 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를저장하여관리하는경우 상용암호화소프트웨어또는안전한암호화알고리즘을사용하여암호화한후저장하여야 한다. 54
고유식별정보를업무용컴퓨터또는모바일기기에저장하여관리하거나, 개인정보처리시스템으로부터개인정보취급자의업무용컴퓨터, 모바일기기에내려받아저장할때는안전한암호화알고리즘이탑재된암호화소프트웨어등을이용하여암호화함으로써불법적인유 노출및접근으로부터차단하여야한다. [ 오피스에서파일암호화설정방법 ] 한컴오피스 : 파일다른이름으로저장하기문서암호설정에서암호설정가능 MS 오피스 : 파일다른이름으로저장하기도구일반옵션에서암호설정가능 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 개인정보의안전성확보조치기준해설서 55
02. 개인정보의안전성확보조치조문별해설 7. 접속기록의보관및점검 제7조 ( 접속기록의보관및점검 ) 1 개인정보처리자는개인정보취급자가개인정보처리시스템에접속한기록을 6개월이상보관 관리하여야한다. 2 개인정보처리자는개인정보의유출 변조 훼손등에대응하기위하여개인정보처리시스템의접속기록등을반기별로 1회이상점검하여야한다. 3 개인정보처리자는개인정보취급자의접속기록이위 변조및도난, 분실되지않도록해당접속기록을안전하게보관하여야한다. 취지 접속기록은개인정보의입 출력및수정사항, 파일별 담당자별데이터접근내역등을자동으로기록하는로그파일을생성하여불법적인접근또는행동을확인할수있는중요한자료이며, 접속기록의백업은개인정보 DB의무결성을유지하기위한중요한요소이다. 따라서, 접속기록을 6개월이상안전하게보관 관리하고반기별 1회이상정기적으로점검하여야하며, 이를통해비정상행위에대해적절한조치를취할필요가있다. 해설 1 개인정보처리자는개인정보취급자가개인정보처리시스템에접속한기록을 6 개월이상보관 관리하여야한다. 개인정보취급자가개인정보처리시스템에접속하여개인정보를처리한경우, 수행한업무내역에 대하여식별자, 접속일시, 접속지를알수있는정보, 수행업무등의접속기록을 6 개월이상 저장하고정기적으로확인 감독하여야한다. 56
[ 접속기록항목예시 ] TIP 필수기록항목 설명 ID 개인정보취급자식별정보 날짜및시간 접속일시 접속자 IP 주소 접속자정보 수행업무 열람, 수정, 삭제, 인쇄, 입력등 개인정보처리시스템에접속한기록이아닌경우에는 6개월보관 관리가필수는아니다. ( 예 : 개인정보처리시스템으로볼수없는업무용 PC만으로개인정보처리시, 이업무용 PC에접속한기록은 6개월보관 관리가필수는아님 ) - 정보주체에대한접속기록까지보관 관리하고정기적으로확인 감독하는경우불법적인접근및비정상행위에대한조치등을강화할수있다. 2 개인정보처리자는개인정보의유출 변조 훼손등에대응하기위하여개인정보처리시스템의접속기록등을반기별로 1회이상점검하여야한다. 개인정보처리자는개인정보의유출 변조 훼손등에대응하기위하여개인정보처리시스템의접속기록을반기별 1회이상정기적으로점검하여야한다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ - 이를통해비인가된개인정보처리, 대량의개인정보의조회, 정정, 다운로드, 삭제등의비정상행위를탐지하여적절한대응조치를할필요가있다. 3 개인정보처리자는개인정보취급자의접속기록이위 변조및도난, 분실되지않도록해당접속기록을안전하게보관하여야한다. 개인정보처리자는개인정보처리시스템의접속기록이위 변조및도난, 분실되지않도록안전하게보관하여야한다. 개인정보의안전성확보조치기준해설서 57
02. 개인정보의안전성확보조치조문별해설 - 즉, 정기적으로접속기록백업을수행하여개인정보처리시스템이외의별도의보조저장 매체나별도의저장장치에보관하는등의조치가필요하다. - 접속기록에대한위 변조를방지하기위해서는 CD-ROM 등과같은덮어쓰기방지매체를 사용하는것이바람직하다. - 접속기록을수정가능한매체 ( 하드디스크, 자기테이프등 ) 에백업하는경우에는무결성보장을 위해위 변조여부를확인할수있는정보를별도의장비에보관 관리할수있다. 접속기록을 HDD 에보관하고, 위 변조여부를확인할수있는정보 (MAC 값, 전자서명값등 ) 는별도의 HDD 또는관리대장에보관하는방법으로관리할수있다. 58
8. 악성프로그램등방지 제8조 ( 악성프로그램등방지 ) 개인정보처리자는악성프로그램등을방지 치료할수있는백신소프트웨어등의보안프로그램을설치 운영하여야하며, 다음각호의사항을준수하여야한다. 1. 보안프로그램의자동업데이트기능을사용하거나, 또는일 1회이상업데이트를실시하여최신의상태로유지 2. 악성프로그램관련경보가발령된경우또는사용중인응용프로그램이나운영체제소프트웨어의제작업체에서보안업데이트공지가있는경우, 즉시이에따른업데이트를실시 취지 악성프로그램이란제작자가의도적으로피해를주고자악의적목적으로만든프로그램및실행가능한코드를의미하는것으로악성코드라고불리기도한다. 컴퓨터바이러스 (Computer Virus), 인터넷웜 (Internet Worm), 트로이목마, 스파이웨어등의형태로나눌수있다. 악성프로그램은컴퓨터에서동작하는일종의프로그램으로자료를손상 유출하거나프로그램을파괴하여정상적인작업을방해한다. 이를방지하기위해백신소프트웨어등의보안프로그램을이용하여해당프로그램을제거하거나예방할필요가있다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 해설 1. 보안프로그램의자동업데이트기능을사용하거나, 또는일 1 회이상업데이트를실시하여 최신의상태로유지 개인정보처리자는악성프로그램등을통해개인정보가위 변조, 유출되지않도록이를방지하고치료할수있는백신소프트웨어등보안프로그램을설치 운영하여야한다. 백신소프트웨어등의보안프로그램은실시간감시등을위해항상실행된상태를유지해야한다. 백신소프트웨어등보안프로그램은자동업데이트기능을사용하거나일 1회이상주기적으로업데이트를실시하여최신의상태로유지해야한다. 개인정보의안전성확보조치기준해설서 59
02. 개인정보의안전성확보조치조문별해설 - 실시간으로신종 변종악성프로그램이유포됨에따라백신상태를최신의업데이트를적용하여유지해야하며, 백신소프트웨어등에서제공하는자동업데이트기능등을활용하면편리하고신속하게조치할수있다. - 특히대량의개인정보를처리하거나민감한정보등중요도가높은개인정보를처리하는경우에는키보드, 화면, 메모리해킹등신종악성프로그램에대해대응할수있도록보안프로그램을운영할필요가있으며, 항상최신의상태로유지하여야한다. [ 백신소프트웨어설정예시 ] [ 자동, 예약업데이트 ] [ 실시간, 예약검사 ] 2. 악성프로그램관련경보가발령된경우또는사용중인응용프로그램이나운영체제소프트 웨어의제작업체에서보안업데이트공지가있는경우, 즉시이에따른업데이트를실시 운영체제 (OS) 응용프로그램의보안취약점을악용하는악성프로그램경보가발령되었거나, 응용프로그램, 운영체제제작업체에서보안업데이트공지가있는경우에는감염을예방하고 감염된경우피해를최소화하기위해즉시업데이트를실시하여야한다. - 운영체제나응용프로그램보안업데이트시현재운영중인응용프로그램의업무연속성이 이루어질수있도록보안업데이트를적용하는것이필요하며, 가능한자동으로보안업데이트가 설정되도록할필요가있다. 한글 Office 나 MS Office 등개인정보처리에자주이용되는응용프로그램은자동업데이트설정시, 보안 업데이트공지에따른즉시업데이트가용이하다. 60
9. 물리적접근방지 제9조 ( 물리적접근방지 ) 1 개인정보처리자는전산실, 자료보관실등개인정보를보관하고있는물리적보관장소를별도로두고있는경우에는이에대한출입통제절차를수립 운영하여야한다. 2 개인정보처리자는개인정보가포함된서류, 보조저장매체등을잠금장치가있는안전한장소에보관하여야한다. 3 개인정보처리자는개인정보가포함된보조저장매체의반출 입통제를위한보안대책을마련하여야한다. 다만별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는이를적용하지아니할수있다. 취지 개인정보를대량으로보관하고있는전산실 자료보관실등물리적보관장소를별도로가지고있는경우, 출입자에의한개인정보대량유출의위험이있으므로이에대한출입통제절차를수립하여운영하고보조저장매체의반 출입통제를위한보안대책을마련하여대응할필요가있다. 또한사무실등에서개인정보가포함된보조저장매체분실등으로인한개인정보유출의위험성이있으므로이에대한대책또한필요하다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 해설 1 개인정보처리자는전산실, 자료보관실등개인정보를보관하고있는물리적보관장소를 별도로두고있는경우에는이에대한출입통제절차를수립 운영하여야한다. 개인정보를대량으로보관하고있는전산실 자료보관실을별도로두고있는경우에는비인가자의 출입에의한개인정보가포함된정보자산의절도, 파괴등물리적위협에대응하기위해출입통제 절차를수립 운영하여야한다. 개인정보의안전성확보조치기준해설서 61
02. 개인정보의안전성확보조치조문별해설 전산실 자료보관실의출입을통제하는방법으로물리적접근방지를위한장치를설치 운영 하고이에대한출입내역을전자적인매체또는수기문서대장에기록하는방법등이있다. - 물리적접근방지를위한장치 ( 예시 ): 비밀번호기반출입통제장치, 스마트카드기반출입 통제장치, 지문등바이오정보기반출입통제장치등 전산실은다량의정보시스템을운영하기위한별도의물리적인공간으로전기시설 (UPS(Uninterruptible Power Supply), 발전기등 ), 공조시설 ( 항온항습기등 ), 소방시설 ( 화재감지기, 소화설비등 ) 등을갖춘시설을의미한다. 자료보관실은가입신청서등의문서나 DAT(Digital Audio Tape), LTO(Linear Tape Open), DLT(Digital Linear Tape), CD(Compact Disc), DVD(Digital Versatile Disk), 하드디스크, SSD(Solid State Drive) 등전자적기록매체가다량으로보관된물리적저장장소를의미한다. 2 개인정보처리자는개인정보가포함된서류, 보조저장매체등을잠금장치가있는안전한 장소에보관하여야한다. 개인정보처리자는개인정보가포함된서류나보조기억매체 (USB, CD 등 ) 등은잠금장치가부착되어있는안전한장소에보관하여야한다. - 플로피디스켓, 이동형하드디스크, USB메모리, SSD, CD, DVD 등의보조기억매체는금고또는잠금장치가있는캐비넷등에안전하게보관하여야한다. 3 개인정보처리자는개인정보가포함된보조저장매체의반출 입통제를위한보안대책을 마련하여야한다. 다만별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는 모바일기기를이용하여개인정보를처리하는경우에는이를적용하지아니할수있다. 개인정보처리자는사무실등개인정보를처리하는업무공간에서개인정보가저장된 USB메모리, CD, 이동형하드디스크등의보조저장매체반 출입에의해개인정보가유출되지않도록반출 입통제를위한보안대책을마련하여야한다. 보조저장매체반 출입통제를위한보안대책마련시다음과같은내용이포함되도록고려할필요가있다. - 보조저장매체보유현황파악및반 출입관리계획 - 개인정보취급자 ( 임직원, 파견근로자, 시간제근로자등 ) 및용역업체의직원등에의한비인가된보조저장매체반 출입에대한대응 62
- 개인정보처리시스템, 업무용 PC, 모바일기기등에서보조저장매체의안전한사용방법및비인가된사용에대한대응등 보조저장매체반 출입통제를위한보안대책은전사적으로수립되어운영되도록할필요가있다. TIP 보조저장매체반 출입통제를위한보안대책은별도의대책으로마련할수도있고, 내부관리계획, 지침, 내규등다른관리계획의일부에포함될수도있다. 별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는보조저장매체반 출입통제를위한보안대책마련이필수는아니나, 관련대책마련을권장한다. 예를들어소상공인이사무실에업무용 PC만사용하여개인정보를처리하는경우 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 개인정보의안전성확보조치기준해설서 63
02. 개인정보의안전성확보조치조문별해설 10. 개인정보의파기 제10조 ( 개인정보의파기 ) 1 개인정보처리자는개인정보를파기할경우다음각호중어느하나의조치를하여야한다. 1. 완전파괴 ( 소각 파쇄등 ) 2. 전용소자장비를이용하여삭제 3. 데이터가복원되지않도록초기화또는덮어쓰기수행 2 개인정보처리자가개인정보의일부만을파기하는경우, 제1항의방법으로파기하는것이어려운때에는다음각호의조치를하여야한다. 1. 전자적파일형태인경우 : 개인정보를삭제한후복구및재생되지않도록관리및감독 2. 제1호외의기록물, 인쇄물, 서면, 그밖의기록매체인경우 : 해당부분을마스킹, 천공등으로삭제 취지 개인정보처리자는개인정보수집목적달성, 보존기간이경과등개인정보가불필요하게되었을때개인정보의유출및오남용방지를위해개인정보를복원이불가능한방법으로파기가필요하다. 복원이불가능한방법 이란사회통념상현재의기술수준에서적절한비용이소요되는방법을의미한다. 또한, 개인정보파기방법중개인정보의일부만파기시완전파괴방법등을사용하기어려운특정환경에서도복구및재생되지않도록조치하는방법이필요하다. 해설 1 개인정보처리자는개인정보를파기할경우다음각호중어느하나의조치를하여야한다. 1. 완전파괴 ( 소각 파쇄등 ) 2. 전용소자장비를이용하여삭제 3. 데이터가복원되지않도록초기화또는덮어쓰기수행 64
개인정보처리자는개인정보를파기하는경우복구또는재생되지아니하도록개인정보가저장된 매체형태에따라다음중어느하나의조치를하여야한다. - 완전파괴 ( 소각 파쇄등 ) 예시 : 개인정보가저장된회원가입신청서등의종이문서, 하드디스크나자기테이프를파쇄기로파기하거나용해, 또는소각장, 소각로에서태워서파기등 - 전용소자장비를이용하여삭제 예시 : 디가우저 (Degausser) 를이용해하드디스크나자기테이프에저장된개인정보삭제등 - 데이터가복원되지않도록초기화또는덮어쓰기수행 예시 : 개인정보가저장된하드디스크에대해완전포맷 (3 회이상권고 ), 데이터영역에무작위값, 0, 1 등으로덮어쓰기 (3 회이상권고 ), 해당드라이브를안전한알고리즘및키길이로암호화저장후삭제하고암호화에사용된키완전폐기및무작위값덮어쓰기등의방법사용 TIP 개인정보파기시파기를전문으로수행하는업체를활용할수있다. 개인정보파기의시행및파기결과의확인은개인정보보호책임자의책임하에수행되어야하며, 파기에관한사항을기록 관리하여야한다. 2 개인정보처리자가개인정보의일부만을파기하는경우, 제1항의방법으로파기하는것이어려운때에는다음각호의조치를하여야한다. 1. 전자적파일형태인경우 : 개인정보를삭제한후복구및재생되지않도록관리및감독 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 2. 제1호외의기록물, 인쇄물, 서면, 그밖의기록매체인경우 : 해당부분을마스킹, 천공등으로삭제 개인정보의일부만파기하는경우 는저장중인개인정보중보유기간이경과한일부개인정보를파기하는경우를말하며, 다음과같은경우등이있다. - 운영중인개인정보가포함된여러파일중, 특정파일을파기하는경우 - 개인정보가저장된백업용디스크나테이프에서보유기간이만료된특정파일이나특정정보주체의개인정보만파기하는경우 - 운영중인데이터베이스에서탈퇴한특정회원의개인정보를파기하는경우 - 회원가입신청서종이문서에기록된정보중, 특정필드의정보를파기하는경우등 개인정보의안전성확보조치기준해설서 65
02. 개인정보의안전성확보조치조문별해설 개인정보처리자가개인정보의일부만파기하는경우복구또는재생되지아니하도록개인정보가 저장된매체형태에따라다음중어느하나의조치를하여야한다. - 전자적파일형태인경우 : 개인정보를삭제한후복구및재생되지않도록관리및감독 개인정보를삭제하는방법예시 : 운영체제, 응용프로그램, 상용도구등에서제공하는삭제기능을사용하여삭제, 백업시파기대상정보주체의개인정보를제외한백업등 ( 운영체제, 응용프로그램, 상용도구등에서제공하는삭제기능을사용하는경우에도가능한복구불가능한방법을사용해야복구및재생의위험을 줄일수있다 ) 복구및재생되지않도록관리및감독하는방법예시 : 복구관련기록 활동에대해모니터링하거나주기적 점검을통해비인가된복구에대해조치 - 제 1 호외의기록물, 인쇄물, 서면, 그밖의기록매체인경우 : 해당부분을마스킹, 천공등으로 삭제 예시 : 회원가입신청서에기재된주민등록번호삭제시, 해당신청서에서주민등록번호가제거되도록절삭, 천공또는펜등으로마스킹 66
부칙 < 제 2011-43 호, 2011. 9. 30.> 제 1 조이기준은고시한날부터시행한다. 취지 이고시의시행일에대한정의를하고있다. 시행되는일시는고시한날부터이다. 제2조 ( 영상정보처리기기에대한안전성확보조치의적용제외 ) 영상정보처리기기에대한안전성확보조치에대해서는 표준개인정보보호지침 중에서영상정보처리기기설치 운영기준이정하는바에따른다. 취지 영상정보처리기기에대한안전성확보조치기준은 표준개인정보보호지침 의영상정보처리기기설치 운영기준에서언급된안전성확보조치기준이정하는바에따른다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 제3조 ( 전산센터, 클라우드컴퓨팅센터등의운영환경에서의안전조치 ) 개인정보처리자가전산센터 (IDC : Internet Data Center), 클라우드컴퓨팅센터 (Cloud Computing Center) 등에계약을통해하드웨어, 소프트웨어등을임차또는임대하여개인정보를처리하는경우에는계약서또는서비스수준협약서 (SLA : Service Level Agreement) 에이기준에준하는수준의안전조치내용이포함되어있으면이기준을이행한것으로본다. 부칙 < 제 2014-7 호, 2014. 12. 30.> 이기준은고시한날부터시행한다. 개인정보의안전성확보조치기준해설서 67
개인정보의안전성 확보조치기준해설서
03 [ 붙임 ] FAQ
03. FAQ 03 [ 붙임 ] FAQ 문 1. 개인정보처리시스템의범위는어디까지를말하는지? 개인정보처리시스템은 DBMS(database management system) 로서, 다수의사용자들이데이터베이스 (DB) 내의데이터에접근할수있도록해주는응용프로그램의집합을말합니다. 여기에는 DB자체뿐아니라, DB에연결되어 DB를관리하거나 DB의개인정보를처리할수있는응용프로그램 ( 예 : 웹서버 ) 까지포함될수있습니다. 문 2. 개인용스마트폰에서회사 e-mail 서버로부터자료를주고받아개인정보처리업무를 수행하는경우에, 모바일기기에포함되는지? 모바일기기에포함됩니다. 개인용스마트폰이나태블릿PC에회사의업무용앱 (App) 을설치하여업무목적의개인정보를처리하는경우나, 개인용스마트폰이나태블릿PC에설치된메일읽기프로그램을사용하여회사메일서버에접속하여업무목적의개인정보를처리하는경우에는모바일기기에해당됩니다. 다만, 개인용스마트폰이회사 e-mail 서버로부터자료를주고받더라도개인정보가포함되지않거나, 회사업무목적아닌경우는모바일기기에서제외됩니다. 70
문3. 전용선의범위는어디까지인지? 두지점간에독점적으로사용하는회선으로개인정보처리자와개인정보취급자, 또는본점과지점간을직통으로연결하는회선등을말합니다. 문4. 개인정보처리자로부터업무를위탁받아처리하는수탁자도이기준을준수하여야합니까? 그렇습니다. 수탁자 는개인정보처리자로부터개인정보의수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정 ( 訂正 ), 복구, 이용, 제공, 공개, 파기 ( 破棄 ), 그밖에이와유사한행위등의업무를위탁받아처리하는자를말합니다 ( 법제26조 ). 그런데수탁자에관하여는개인정보의안전성확보조치에관한개인정보보호법제24조제3항, 제29조가준용되어적용됩니다 ( 법제26조제 7항 ). 따라서수탁자는이기준에따라개인정보의안전성확보에필요한조치를이행하여야합니다. 문5. 소기업및소상공인지원을위한특별조치법 에따른소상공인입니다. 내부관리계획을수립하지않아도되는지? 소상공인은 개인정보의안전성확보조치기준 제3조제2항에의거내부관리계획을수립하지않아도됩니다. 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 문 6. 개인정보보호에관한사항을회사규칙으로마련한경우에도 개인정보보호법 에따른 내부관리계획을별도로마련해야하는지? 회사규칙에내부관리계획에포함되어야하는내용 ( 개인정보보호책임자의지정에관한사항, 개인정보보호책임자및개인정보취급자의역할및책임에관한사항, 개인정보의안전성확보에필요한조치에관한사항, 개인정보취급자교육에관한사항, 수탁자에대한관리및감독에관한사항, 그밖에개인정보보호를위하여필요한사항 ) 이모두포함되어있다면별도의내부관리계획을마련하지않아도됩니다. 개인정보의안전성확보조치기준해설서 71
03. FAQ 문 7. 비디오대여점을운영하는소상공인입니다. 현재고객관리를위해업무용컴퓨터를운영하고 있습니다. 개인정보의안전성확보조치기준 에따라어떠한조치를수행해야하는지? 업무용컴퓨터로고객정보를관리하는경우제4조 ( 접근권한의관리 ) 제5항에따라업무용컴퓨터에비밀번호를설정하고업무용컴퓨터에서제공되는침입차단기능을설정하고악성프로그램을차단하도록백신소프트웨어를설치하여야합니다. 또한, 업무용컴퓨터에주민등록번호등고유식별정보가저장된경우에는암호화등의보안조치를수행하여야합니다. 문 8. 백화점입니다. 고객정보데이터베이스를운영하고있습니다. 개인정보암호화대상이 무엇이며어떻게해야하는지? 개인정보보호법 상에서요구되는암호화대상은고유식별정보 ( 주민등록번호, 외국인등록번호, 운전면허번호, 여권번호 ), 비밀번호, 바이오정보입니다. 개인정보처리자는고유식별정보등을정보통신망또는보조저장매체등을통해전달하는경우암호화하여전송해야합니다. 인터넷구간및인터넷구간과내부망의중간지점 (DMZ) 에고유식별정보를저장하는경우에도반드시암호화하여야합니다. 또한, 내부망에고유식별정보를저장하는경우위험도분석또는영향평가후에암호화적용범위및적용범위를정하여시행할수있습니다. [ 암호화적용기준요약표 ] 정보통신망, 보조저장매체를통한송 수신시 구분비밀번호, 바이오정보, 고유식별정보비밀번호바이오정보 암호화기준 암호화송 수신 내부망에서전송시해설내용참조 일방향암호화저장 암호화저장 개인정보처리시스템에저장시 고유식별정보 인터넷구간, 인터넷구간과내부망의중간지점 (DMZ) 내부망에저장 암호화저장 암호화저장또는다음항목에따라암호화적용여부 적용범위를정하여저장 1 개인정보영향평가대상이되는공공기관의경우, 그개인정보영향평가의결과 2 위험도분석에따른결과 업무용컴퓨터, 모바일기기에저장시비밀번호, 바이오정보, 고유식별정보암호화저장 ( 비밀번호는일방향암호화저장 ) 72
다만, 주민등록번호의경우에는 2016년 1월 1일부터는내부망에저장하는경우라도개인정보영향평가나위험도분석의결과에관계없이암호화하여야하며, 암호화적용대상및대상별적용시기등은 개인정보보호법 시행령에따릅니다. 문9. 내부망에저장하는주민등록번호는영향평가나위험도분석을통해암호화하지않고보유할수있는지? 2016년 1월 1일이전까지는가능하나, 2016년 1월 1일부터내부망에저장하는경우라도개인정보영향평가나위험도분석의결과에관계없이암호화하여야하며, 암호화적용대상및대상별적용시기등은 개인정보보호법 시행령에따릅니다. 문10. 암호화해야하는바이오정보의대상은어디까지인지? 암호화하여야하는바이오정보는식별및인증등의고유기능에사용되는경우로한정되며콜센터등일반민원상담시저장되는음성기록이나일반사진정보는암호화대상에서제외됩니다. 바이오정보인경우에원본데이터와가공되거나생성된특징정보모두암호화대상입니다. 문11. 특정기관에서암호화관련준수해야하는지침과본고시에서규정한암호화요구사항중어느것을적용해야하는지? 개인정보의안전성확보조치기준개인정보의안전성확보조치조문별해설 FAQ 개인정보보호법 측면에서는본고시에서규정한암호화요구사항을준수하면 개인정보보호법 상암호화의무는준수한것입니다. 본고시준수로인하여다른지침을준수하기어렵게된다면 개인정보보호법 은준수하였으나해당지침은위배한것이될수있습니다. 따라서, 최선의방법은본고시에서규정한암호화요구사항과다른암호화관련지침의요구사항모두를준수하는것이라할수있습니다. 문 12. 업무용 PC 에서고유식별정보나바이오정보를처리하는경우개인정보암호화는어떻게 해야하는지? PC 에저장된개인정보의경우상용프로그램 ( 한글, 엑셀등 ) 에서제공하는비밀번호설정기능을 개인정보의안전성확보조치기준해설서 73
03. FAQ 사용하여암호화를적용하거나, 안전한암호화알고리즘을이용하는소프트웨어를사용하여 암호화해야합니다. 암호화에관한세부질문사항은 개인정보암호화조치안내서 를참고할수있습니다. 문 13. 전산실또는자료보관실이없는중소기업입니다. 개인정보의안전성확보조치기준 제 9 조 ( 물리적접근방지 ) 조항을준수해야하는지? 기업의규모에상관없이전산실, 자료보관실등개인정보를보관하고있는물리적보관장소를별도로운영하고있지않으면출입통제절차를수립 운영하지않아도됩니다. 다만서류나, 보조저장매체등을운영하는경우에는잠금장치가있는캐비넷등에안전하게보관하여야하며, 보조저장매체의반출 입통제를위한보안대책을마련해서운영해야합니다. 문 14. 접속기록중, 수행업무에남겨야하는내용은무엇인지? 접속기록에는식별자, 접속일시, 접속지를알수있는정보와수행업무가포함됩니다. 수행업무는정보주체의개인정보에대한수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정 ( 訂正 ), 복구, 이용, 제공, 공개, 파기 ( 破棄 ) 등의내역을말합니다. 특히, 개인정보취급자가특정정보주체의개인정보를처리한경우, 수행업무 에는해당정보주체에대한식별정보도포함됩니다. 74